Одне спеціально сформоване SMS, якого власник смартфона навіть не побачить, здатне обірвати телефонну розмову — зокрема виклик екстрених служб — і спричинити повторювані збої мобільного звʼязку аж до циклу перезавантажень. Вразливість, яку її першовідкривач назвав SMS of Death («SMS смерті»), присутня в коді Android починаючи з 12-ї версії, проте виправлення отримали лише новіші системи.
Що відомо про вразливість
Проблему виявив незалежний дослідник безпеки Марк Блащик (Mark Blaszczyk). 29 жовтня він оприлюднив технічні подробиці та робочий код атаки (proof-of-concept), відтворивши її на смартфонах Google Pixel і Samsung Galaxy. За його даними, на протестованих пристроях збій спрацьовував щоразу.
Блащик повідомив Google про вразливість ще 5 травня 2026 року через програму винагород за знайдені вразливості. Як пише Cyber Kendra, компанія кілька разів закривала звіт, а 29 жовтня остаточно віднесла проблему до таких, що не стосуються безпеки, пославшись на те, що вона «не відповідає порогу серйозності». Водночас інженер Google ще 15 червня підготував виправлення, яке тепер доступне у відкритому коді Android (AOSP).
Згодом команда захищеної прошивки GrapheneOS повідомила, що вразливості присвоєно ідентифікатор CVE-2026-58882 і критичний рівень небезпеки в листопадовому бюлетені безпеки Android.
Як звичайне на вигляд SMS «вбиває» телефонний модуль
Атака використовує WAP Push — давній формат службових двійкових SMS, якими оператори досі передають, наприклад, сповіщення про MMS і налаштування мобільних послуг. Такі повідомлення не потрапляють до застосунку «Повідомлення»: Android обробляє їх автоматично, без жодних дій з боку власника, а номер відправника при цьому не відображається.
Помилка міститься в компоненті WapPushOverSms телефонної підсистеми Android. Під час розбору повідомлення система зчитує довжину заголовка як 64-бітне число і перетворює його на 32-бітне без перевірки допустимого діапазону. Спеціально підібране значення внаслідок такого перетворення стає відʼємним, а спроба виділити памʼять під масив «відʼємного» розміру спричиняє необроблену помилку NegativeArraySizeException. У результаті аварійно завершується системний процес com.android.phone, що відповідає за дзвінки та мобільний звʼязок. Увесь шкідливий пакет займає лише вісім байтів.
Кожне таке повідомлення відключає смартфон від мережі на одну-дві секунди, поки процес перезапускається. Якщо в цей момент триває розмова, вона обривається — зокрема й виклик екстрених служб.
Чому збій повторюється знову і знову
Головна небезпека полягає в тому, що одноразовий збій легко перетворюється на тривалу відмову в обслуговуванні. Оскільки смартфон «падає» раніше, ніж підтверджує отримання повідомлення, оператор вважає його недоставленим і надсилає повторно. За спостереженнями дослідника, одне повідомлення спричиняло періодичні збої звʼязку впродовж тижня, а близько 20 повідомлень робили пристрій непридатним до використання на тривалий час.
Ще серйозніші наслідки має серія приблизно з 30 повідомлень, надісланих поспіль: збої накладаються на запис до бази даних SMS і пошкоджують її. Після цього телефонний процес аварійно завершується під час кожного завантаження системи — навіть без нових повідомлень.
Скидання до заводських налаштувань у такій ситуації не допомагає: базу буде очищено, але оператор знову доставить повідомлення з черги, і цикл повториться. Блащику вдалося відновити тестові смартфони, лише переставивши фізичну SIM-картку в пристрій не на Android (наприклад, iPhone), щоб повідомлення з черги було прийнято, а потім видаливши пошкоджені записи через Android Debug Bridge (ADB) — інструмент для розробників, яким більшість власників смартфонів ніколи не користувалася. Для пристроїв з eSIM, яку неможливо перенести в інший телефон, відновлення, за оцінкою дослідника, ще складніше.
Які смартфони під загрозою
Вразливість не привʼязана до конкретного виробника: значення має версія Android і рівень встановлених оновлень безпеки. Вразливий код присутній в Android 12–17. За даними дослідника, Google розповсюдила виправлення для Android 14, 15, 16 і 17 у межах жовтневого оновлення безпеки 2026 року, хоча в самому жовтневому бюлетені вразливість не згадувалася. Офіційно вона задокументована в листопадовому бюлетені — саме на нього посилається GrapheneOS.
Смартфони на Android 12 і 13 виправлення не отримали. Найвразливішими залишаються пристрої, які вже не підтримуються виробниками.
Водночас масштаб загрози варто оцінювати тверезо. SMS of Death — це вразливість типу «відмова в обслуговуванні» (DoS): вона не дає змоги викрасти паролі, листування чи інші персональні дані або перехопити керування смартфоном. Підтверджених випадків використання цієї вразливості в реальних атаках наразі не зафіксовано. Проте оприлюднення робочого коду атаки знижує поріг для зловмисників, тому оновлення варто встановити якомога швидше.
Що робити власникам Android-смартфонів
Налаштування, яке дало б змогу заблокувати WAP Push-повідомлення, в Android немає, тож єдиний дієвий захист — оновлення системи.
- Перевірити рівень оновлення системи безпеки. Дату останнього патча зазвичай вказано в розділі налаштувань «Про телефон» або «Оновлення системи»; точне розташування залежить від виробника.
- Встановити всі доступні оновлення, а листопадове оновлення безпеки 2026 року — одразу після того, як виробник випустить його для конкретної моделі.
- Зʼясувати, чи підтримується пристрій. Смартфони на Android 12 і 13, а також моделі, для яких виробник припинив випуск оновлень, залишаються вразливими. Якщо такий телефон є основним засобом звʼязку, варто розглянути його заміну.
- Мати запасний канал звʼязку. В Україні мобільний телефон часто залишається основним способом викликати допомогу за номерами 101, 102, 103, 104 чи 112, тому доступ до другого пристрою — особливо для літніх родичів зі старими смартфонами — не буде зайвим.
Історія SMS of Death вкотре демонструє головну слабкість екосистеми Android: навіть коли Google виправляє помилку в базовому коді системи, швидкість, з якою захист дістається до конкретного смартфона, залежить від виробника, а старі пристрої можуть так і залишитися без патча.
