„SMS на смртта”: Објавен експлоит за критична ранливост во Android — една порака го руши телефонот и ги прекинува итните повици

Истражувачот за безбедност Марк Бла (Mark Blah) објави „доказ за концепт” (PoC) за неодамна закрпена ранливост во оперативниот систем Android, наречена „SMS на смртта” (SMS of Death) и заведена под ознаката CVE-2026-58882.

Овој пропуст овозможува напад од типот „оневозможување на услугата” (denial-of-service) при кој напаѓачот од далечина може да ја прекине мобилната услуга или да предизвика целосен пад на телефонот со испраќање на специјално креирана текстуална порака. Клучната опасност е што корисникот не мора да стори ништо — Android ја обработува пораката уште пред таа да стигне во сандачето за SMS, па жртвите немаат никаков видлив показател за тоа што предизвикало пад.

Уште позагрижувачки, нападот може да ги прекине тековните повици, вклучително и повиците кон службите за итни случаи.

Како функционира нападот?

Според техничката анализа на Бла, пропустот настанува поради несоодветна проверка на вредноста за должината на заглавието во функцијата WapPushOverSms.decodeWapPdu во рамките на Android.

Напаѓачот испраќа неправилно форматирана WAP Push порака од осум бајти на портата 2948. Кога вредноста ќе се претвори во 32-битен цел број со знак без претходна проверка на границите, таа добива вредност од -2.147.483.648. Кога Android ќе се обиде да алоцира меморија користејќи ја оваа негативна вредност, доаѓа до исклучок од типот NegativeArraySizeException, што предизвикува пад на процесот com.android.phone.

Бидејќи овој процес управува со сите функции на мобилната мрежа, неговиот пад доведува до целосен прекин на мобилната конекција.

Циклуси на рестартирање и фабричко ресетирање

При тестирањето, Бла открил дека испраќањето на 20 злонамерни пораки може да ги заглави телефоните во бесконечни циклуси на рестартирање. На еден уред со Android 12, телефонот се рестартирал во режим на обновување приближно на секои 90 секунди, што барало од корисникот да изврши ресетирање на фабричките поставки за да се опорави.

Соработник на GitHub познат како Сакис открил начин за отстранување на злонамерните пораки со помош на Android Debug Bridge (ADB), но процесот бара понапредно техничко знаење и пристап до компјутер.

Кои уреди се заштитени, а кои не?

Според Бла, Google наводно ја закрпил ранливоста во безбедносните ажурирања за Android од октомври 2026 година, кои се однесуваат на верзиите од Android 14 до 17. Поправката, насловена „Поправка на далечински DoS во decodeWapPdu”, ги спречува падовите со фаќање на исклучоците и ги брише злонамерните пораки од базата на податоци за СМС.

Сепак, постојат два сериозни проблеми:

• Пропустот не е наведен во октомврискиот безбедносен билтен на Google, што значи дека многу корисници не се свесни за ризикот
• Постарите уреди со Android 12 и 13 остануваат ранливи бидејќи за нив не е достапна соодветната поправка

Што треба да направат корисниците?

Бидејќи функционалниот експлоит е веќе јавно достапен, ризикот од злоупотреба е реален и непосреден. На корисниците на Android силно им се препорачува:

• Да ги инсталираат најновите безбедносни ажурирања веднаш штом станат достапни
• Да проверат дали нивниот уред е опфатен со октомвриската закрпа
• Корисниците на постари уреди (Android 12 и 13) да бидат особено внимателни, бидејќи за нив заштита засега не постои

Безбедносните ажурирања обично се инсталираат автоматски на поддржаните уреди, но нивната достапност зависи од производителот на уредот и од мобилниот оператор, а за завршување на инсталацијата може да биде потребно рестартирање, се наведува во објавата на Bleeping Computer.