Вышел эксплойт для дыры Android, которая одним SMS отключает телефон от сети
Исследователь безопасности выложил рабочий эксплойт для уязвимости Android, которая позволяет любому, кто знает ваш номер, отключить телефон от сотовой сети одним скрытым SMS. Дыра, которую автор назвал «SMS of Death» (BleepingComputer присвоил ей номер CVE-2026-58882), роняет системный процесс, отвечающий за звонки и мобильный интернет, и может оборвать уже идущий вызов экстренных служб. Google исправил её в октябрьском обновлении безопасности Android 2026 года для версий с 14 по 17. Телефоны на Android 12 и 13 это исправление не получат, пишет BleepingComputer 31 октября.
Как одно сообщение отключает телефон
Атака использует WAP Push, старый формат SMS, которым операторы присылают на телефоны настройки и служебные сообщения. Как объясняет в техническом разборе исследователь Mark B, Android берёт из заголовка сообщения значение длины и без проверки превращает его в отрицательное число. Когда система пытается выделить память такого размера, процесс com.android.phone падает. Этот процесс отвечает за звонки, SMS и мобильный интернет, поэтому телефон на секунду-две теряет сеть, а текущий звонок обрывается.
Жертве не нужно ничего нажимать или открывать. Сообщение приходит как служебное SMS с данными, не появляется в приложении «Сообщения», а номер отправителя не виден. По словам исследователя, сбой воспроизводится на Android с 12 по 16 версию: на Pixel 9 с прошивкой за апрель 2026 года и на нескольких моделях Samsung Galaxy он срабатывал в 100% случаев.
Почему одно SMS может зациклить перезагрузку
Если телефон не подтвердил доставку, оператор присылает сообщение снова, и телефон снова падает. Кроме того, сообщение остаётся в очереди входящих SMS и обрабатывается при каждой загрузке. В тестах одно сообщение вызывало перебои со связью до недели. Примерно 20 таких сообщений надолго выводили устройство из строя. Телефон на Android 12 каждые 90 секунд перезагружался в режим восстановления, где Android предлагает стереть все данные.
Один из пользователей GitHub нашёл способ выйти из цикла без сброса к заводским настройкам: удалить вредные сообщения через ADB, отладочный инструмент Android, в короткий момент после загрузки. Для этого нужны компьютер, заранее включённая отладка по USB и определённые навыки, так что большинству людей с зависшим в цикле телефоном придётся его стереть.
Тихий патч, который обошёл старые телефоны
По словам исследователя, он сообщил Google об ошибке 5 мая 2026 года. Исправление под названием «Fix remote DoS in decodeWapPdu» появилось в коде в июне и вошло в октябрьское обновление безопасности для Android с 14 по 17. Проверку длины, которую предлагал исследователь, в нём не добавили: патч перехватывает сбой и удаляет вызвавшее его сообщение, чтобы оно не сработало при следующей загрузке. В октябрьском бюллетене безопасности Google этой уязвимости нет. Android 12 и 13 используют тот же код, но обновлений уже не получают.
Приложение с эксплойтом появилось на GitHub 29 октября. Оно отправляет сообщение с одного Android-телефона на другой, так что специальное оборудование для атаки больше не нужно.
Как проверить свой телефон
Откройте настройки и найдите дату обновления безопасности. На Pixel это «Настройки», «О телефоне», «Версия Android», пункт «Обновление системы безопасности Android». На Samsung это «Настройки», «Сведения о телефоне», «Сведения о ПО», пункт «Уровень исправления безопасности Android». Дата 1 октября 2026 года или позже означает, что исправление установлено, если на телефоне Android 14 или новее. Если обновление ждёт установки, поставьте его и перезагрузите телефон. Сроки выхода обновлений зависят от производителя и оператора, поэтому часть телефонов на Android 14-17 получит его позже, чем Pixel.
Если на телефоне Android 12 или 13, официального исправления не будет. VPN тут не поможет: атака приходит через сотовую сеть, а не через интернет. Тем, кто рассчитывает на такой телефон для экстренных звонков, по-настоящему защитит только более новое устройство, которое ещё получает обновления.
