«SMS смерті» для Android: що робити власникам Android 12 і 13

Дослідник Марк Блащик опублікував робочий експлойт для вразливості Android, яку назвали «SMS смерті» (CVE-2026-58882). Одне спеціально складене повідомлення — і телефон втрачає зв’язок: дзвінки уриваються, зокрема екстрені, а в гіршому разі апарат потрапляє в цикл перезавантажень. Найгірше доводиться власникам Android 12 і 13: для цих версій виправлення в оглядах не згадують.

Як працює атака

Проблема міститься в системному компоненті, який розбирає службові WAP Push-повідомлення. Зловмисник надсилає повідомлення з особливою послідовністю з п’яти байтів. Android перетворює довжину заголовка на від’ємне число й не перевіряє його, а коли система пробує виділити під нього пам’ять, вона падає з помилкою. Разом із нею руйнується процес com.android.phone, який відповідає за дзвінки й мобільну мережу.

Жертві нічого не треба відкривати чи натискати. Повідомлення не потрапляє у «Вхідні», номера відправника не видно, сповіщення немає. Є й неприємна деталь: телефон не підтверджує отримання, тому оператор може надсилати повідомлення знову, а воно лишається в черзі. Після перезавантаження процес падає ще раз. За словами дослідника, близько двадцяти таких повідомлень здатні надовго вивести смартфон з ладу, а вбудований захист RescueParty зрештою відправляє пристрій, що вперто падає, у режим відновлення.

Код демонстраційного застосунку лежить на GitHub, тож повторити атаку зможе не лише фахівець. Подробиці про баг є в розборі eSecurityPlanet і в записі національної бази вразливостей NVD.

Кого це стосується і в кого є виправлення

За даними eSecurityPlanet, уражені версії Android з 12 по 16; інші видання називають діапазон 12–17, тож єдиної думки немає. Google отримав звіт 5 травня 2026 року, правку до коду внесли 15 червня, а в масове оновлення вона потрапила в жовтневому пакеті для Android 14–17. Про Android 12 і 13 у публікаціях нічого немає: або патча немає, або його не випускають, бо підтримка цих версій у багатьох виробників скінчилася. Вразливість перевіряли на Pixel 9 з квітневою прошивкою та на кількох Samsung Galaxy серії A.

Поки що ситуацію тримають під контролем великі виробники. Наприклад, Samsung нещодавно закрила 62 вразливості в Galaxy S24 і S26, але на старіші та бюджетніші моделі такі пакети приходять із запізненням або не приходять узагалі.

Що зробити просто зараз

Порада «не відкривайте підозрілі повідомлення» тут марна: атака спрацьовує раніше, ніж ви щось побачите. Реально допомагає лише оновлення.

1. Відкрийте «Налаштування → Про телефон → Оновлення ПЗ» (на Samsung — «Налаштування → Оновлення ПЗ → Завантаження й установлення») і встановіть усе, що запропонує система. Потрібен патч безпеки не старший за жовтень 2026 року; дату можна подивитися в «Налаштування → Про телефон → Відомості про ПЗ».
2. Якщо телефон на Android 12 або 13 і оновлень немає, перевірте в довідці Google, чи підтримується модель. Якщо ні, під час наступної покупки обирайте апарат із гарантованими патчами щонайменше п’ять років.
3. Якщо телефон уже втратив мережу й перезавантажується по колу, самотужки його не вилікувати: потрібне підключення через ADB з комп’ютера, щоб видалити шкідливі повідомлення з черги. Краще одразу звернутися в сервіс або до знайомого, який із цим працював. Скидання до заводських налаштувань теж допомагає, але стирає дані, тож спершу подумайте про резервну копію.

Шанс, що саме вас оберуть ціллю, невеликий: атака розрахована на конкретний номер. Але якщо ви працюєте з важливими дзвінками або користуєтеся старим телефоном як основним, пропускати оновлення не варто.

Для загального захисту від обману через SMS стане в пригоді й функція, про яку ми вже писали: Circle to Search уміє перевіряти SMS на шахрайство. Від цієї вразливості вона не захистить, зате допоможе зі звичайними фішинговими повідомленнями.

Що в підсумку

Оновіться до жовтневого патча безпеки або новішого. Власникам Android 12 і 13 варто перевірити наявність оновлень уручну й подумати про заміну телефона, якщо підтримка скінчилася: наступні подібні баги теж залишаться без виправлення.