Новая SMS уязвимость: невидимое сообщение ломает Android и может оставить вас без связи и экстренных вызовов

Кратко о новости: исследователь опубликовал рабочий PoC-эксплойт для уязвимости Android CVE-2026-58882. Специально сформированное SMS не

показывается в inbox, но вызывает крах системного процесса телефонии: обрываются звонки, включая экстренные, а при повторной доставке сообщений устройство может уйти в цикл перезагрузок. Патч есть для Android 14–17 в обновлении безопасности за октябрь 2026 года; Android 12–13 остаются уязвимыми. Что случилось и как это работает ИБ-исследователь Марк Блащик (Mark Blaszczyk) 29 октября 2026 года опубликовал технический разбор и рабочий PoC-эксплойт для критической уязвимости Android, получившей название «SMS of Death» и идентификатор CVE-2026-58882. Проблема кроется в функции : из-за отсутствия проверки длины заголовка WAP Push-сообщения значение преобразуется в отрицательное 32-битное целое, что вызывает исключение и крах системного процесса , отвечающего за сотовую связь и звонки.

Атака является zero-click: жертве достаточно получить специально сформированное SMS, которое **не отображается в inbox** и не издаёт звуков. В результате обрываются активные вызовы, включая экстренные, а при повторной доставке сообщений оператором или накоплении около 20–30 таких SMS устройство может войти в цикл перезагрузок примерно каждые 90 секунд. Кого затрагивает и что с патчем Уязвимость воспроизведена на Android 12–16 (успешно на Pixel 9 и ряде Samsung Galaxy S/A). Google выпустила исправление в октябрьском security-обновлении 2026 года для Android 14–17: патч перехватывает исключение и удаляет вредоносное сообщение из базы SMS, предотвращая повторные краши. Android 12 и 13 остаются уязвимыми**, поскольку больше не получают обновлений безопасности. На момент публикации PoC сведений о реальных атаках в дикой природе не поступало, но сам факт наличия рабочего эксплойта резко повышает риск. Пошаговая инструкция по защите для обычных пользователей (7 шагов): 1. Проверьте версию Android. Откройте «Настройки» → «О телефоне» → «Версия Android». Если у вас Android 14, 15, 16 или 17 — переходите к шагу 2. Если Android 12 или 13 — см. шаг 5.

2. Проверьте дату security-патча. В том же разделе найдите «Уровень безопасности Android» или «Дата обновления безопасности». Если указан октябрь 2026 или более поздняя дата — исправление уже установлено.

3. Установите обновления, если патч старее октября 2026. Зайдите в «Настройки» → «Система» → «Обновление системы» → «Проверить обновления». Учтите: производители (Samsung, Xiaomi и др.) рассылают патчи в свои сроки, поэтому может потребоваться подождать или проверить обновления вручную.

4. Перезагрузите телефон после установки обновления — это необходимо для завершения установки security-патча.

5. Если у вас Android 12 или 13: официального патча не будет. Проверьте у производителя, планируется ли обновление до более новой версии. Если нет — рассмотрите переход на устройство с поддерживаемой версией Android, поскольку вы остаётесь уязвимыми неограниченно долго.

6. Если телефон уже застрял в цикле перезагрузки: не выбирайте «Wipe data / Сброс данных» в меню recovery — это уничтожит все данные, но не гарантирует избавления от проблемы, так как оператор может повторно доставить вредоносное SMS. Временное решение — извлечь SIM-карту и вставить её в не-Android телефон, чтобы подтвердить доставку и остановить повторные рассылки, после чего очистить проблемные SMS через ADB с компьютера (требует технических навыков).

7. Дополнительно (для продвинутых): если WAP Push-сообщения не используются вашим оператором для служебных настроек, можно временно отключить приём WAP Push, но это может нарушить работу MMS и некоторых сервисов оператора — делайте это только осознанно.