«SMS смерти» для Android: что делать владельцам Android 12 и 13

Исследователь Марк Блащик опубликовал рабочий эксплойт для уязвимости Android, которую назвали «SMS смерти» (CVE-2026-58882). Одно специально собранное сообщение — и телефон теряет связь: звонки обрываются, включая экстренные, а в худшем случае аппарат уходит в цикл перезагрузок. Хуже всего приходится владельцам Android 12 и 13: для этих версий исправление в обзорах не упоминается.

Как работает атака

Проблема сидит в системном компоненте, который разбирает служебные WAP Push-сообщения. Злоумышленник отправляет сообщение с особой последовательностью из пяти байт. Android превращает длину заголовка в отрицательное число и не проверяет его, а при попытке выделить под него память система падает с ошибкой. Вместе с ней рушится процесс com.android.phone, который отвечает за звонки и мобильную сеть.

Жертве ничего не нужно открывать или нажимать. Сообщение не попадает во «Входящие», номер отправителя не виден, уведомления нет. Есть и неприятная деталь: телефон не подтверждает приём, поэтому оператор может присылать сообщение снова, а оно остаётся в очереди. После перезагрузки процесс падает опять. По словам исследователя, около двадцати таких сообщений способны надолго вывести смартфон из строя, а встроенная защита RescueParty в итоге отправляет упрямо падающее устройство в режим восстановления.

Код демонстрационного приложения лежит на GitHub, так что повторить атаку сможет не только профессионал. Подробности по багу есть в разборе eSecurityPlanet и в записи национальной базы уязвимостей NVD.

Кого касается и у кого есть исправление

По данным eSecurityPlanet, затронуты версии Android с 12 по 16; другие издания называют диапазон 12–17, так что единого мнения нет. Google получил отчёт 5 мая 2026 года, правку в код внесли 15 июня, а в массовое обновление она попала в октябрьском пакете для Android 14–17. Про Android 12 и 13 в публикациях ничего нет: либо патча нет, либо его не выпускают, потому что поддержка этих версий у многих производителей закончилась. Тестировали уязвимость на Pixel 9 с апрельской прошивкой и на нескольких Samsung Galaxy серии A.

Пока уязвимость держат под контролем крупные производители. Например, Samsung недавно закрыла 62 уязвимости в Galaxy S24 и S26, но на более старые и бюджетные модели такие пакеты приходят с задержкой или не приходят вовсе.

Что сделать прямо сейчас

Совет «не открывайте подозрительные сообщения» здесь бесполезен: атака срабатывает раньше, чем вы что-то увидите. Реально помогает только обновление.

1. Откройте «Настройки → О телефоне → Обновление ПО» (на Samsung — «Настройки → Обновление ПО → Загрузка и установка») и установите всё, что предложит система. Нужен патч безопасности не старше октября 2026 года; дату можно посмотреть в «Настройки → О телефоне → Сведения о ПО».
2. Если телефон на Android 12 или 13 и обновлений нет, проверьте в справке Google, поддерживается ли модель. Если нет, при следующей покупке выбирайте аппарат с гарантированными патчами не меньше пяти лет.
3. Если телефон уже потерял сеть и перезагружается по кругу, самостоятельно его не вылечить: потребуется подключение по ADB с компьютера, чтобы удалить вредоносные сообщения из очереди. Лучше сразу обратиться в сервис или к знакомому, который с этим работал. Сброс до заводских настроек тоже помогает, но стирает данные, так что сначала подумайте о резервной копии.

Шанс, что именно вас выберут целью, невелик: атака рассчитана на конкретный номер. Но если вы работаете с важными звонками или пользуетесь старым телефоном как основным, пропускать обновление не стоит.

Для общей защиты от обмана по SMS пригодится и функция, о которой мы уже писали: Circle to Search умеет проверять SMS на мошенничество. От этой уязвимости она не защитит, зато поможет с обычными фишинговыми сообщениями.

Что в итоге

Обновитесь до октябрьского патча безопасности или новее. Владельцам Android 12 и 13 стоит проверить наличие обновлений вручную и подумать о замене телефона, если поддержка закончилась: следующие подобные баги тоже останутся без исправления.