Bezpieczeństwo cyfrowe i prywatność · Alert bezpieczeństwa
„SMS of Death” na Androidzie: niewidoczny SMS zrywa rozmowy. Co z łatką?
Według badacza niewidoczny SMS zrywa rozmowy na Androidzie (CVE-2026-58882). Exploit jest publiczny, a Android 12 i 13 nie dostały poprawki.
Najważniejsza odpowiedź
W skrócie
- Według badacza spreparowany SMS danych wywraca usługę telefonu na Androidzie: zrywa rozmowy, także alarmowe, i na 1–2 sekundy odcina sieć; około 20 wiadomości może wywołać pętlę restartów.
- Exploit jest publiczny od 29 października; źródła nie opisują ataków poza testami badacza.
- Badacz mówi o poprawce w aktualizacjach od października dla Androida 14–17, ale październikowy biuletyn Google jej nie wymienia, a GrapheneOS przypisuje ją do biuletynu listopadowego.
- Android 12 i 13 poprawki nie dostały; zainstaluj najnowszą dostępną aktualizację zabezpieczeń i sprawdź jej datę w „Informacje o telefonie” → „Wersja Androida”.
Jeden SMS, którego nawet nie zobaczysz, może na chwilę odciąć Androida od sieci i zerwać trwającą rozmowę, także z numerem alarmowym. Tak lukę „SMS of Death” (CVE-2026-58882) opisuje badacz podpisujący się Mark B. (Android Authority i heise podają nazwisko Blaszczyk), który 29 października opublikował jej analizę razem z działającym exploitem. Według niego poprawka jest dla Androida 14–17, a Android 12 i 13 jej nie dostały.
Co robi ta luka
Według badacza wystarczy spreparowana wiadomość WAP Push wysłana jako SMS danych. Funkcja WapPushOverSms.decodeWapPdu() odczytuje z niej długość nagłówka bez sprawdzenia zakresu. Wartość zamienia się w -2147483648, a próba utworzenia tablicy o ujemnym rozmiarze wywraca proces com.android.phone, który obsługuje połączenia i sieć komórkową. Ofiara niczego nie klika, a w Wiadomościach nic się nie pojawia.
Jedna wiadomość to według badacza 1–2 sekundy bez zasięgu i zerwane rozmowy. Operator ponawia niepotwierdzone doręczenie, więc w jego testach jeden SMS powodował przerywane awarie nawet przez tydzień. Badacz odtworzył błąd na Pixelu 9 i kilku Samsungach Galaxy.
Gorzej, gdy takich wiadomości jest więcej. Według badacza spreparowany SMS zostaje w kolejce i telefon próbuje go przetworzyć po każdym uruchomieniu. Około 20 takich wiadomości unieruchamia telefon na dłużej, a jeden Android 12 w jego testach wracał do trybu odzyskiwania mniej więcej co 90 sekund. Jak opisuje heise, wyjście z takiej pętli bez utraty danych wymaga komputera i narzędzia ADB. Jeśli telefon sam się restartuje i pokazuje ekran odzyskiwania, radzimy nie wybierać „Wipe data”, bo skasujesz dane, tylko poszukać pomocy w serwisie.
Exploit jest publiczny, bo badacz udostępnił aplikację i jej kod źródłowy. Żadne z przeczytanych przez nas źródeł nie opisuje ataków poza jego testami.
Kiedy i gdzie jest poprawka
Tu źródła się rozjeżdżają. Badacz pisze, że poprawka Google trafiła do październikowej aktualizacji zabezpieczeń dla Androida 14–17 i że chroni poziom poprawek z października 2026 lub nowszy. W październikowym biuletynie bezpieczeństwa Androida tej luki jednak nie ma, na co zwraca uwagę też BleepingComputer. Commit z poprawką w AOSP ma datę 15 czerwca. GrapheneOS pisze na GitHubie, że poprawka była w lipcowych podglądach poprawek bezpieczeństwa, a lukę przypisuje do listopadowego biuletynu. Według Android Authority GrapheneOS podaje też ocenę krytyczną. Google nie opisało jeszcze tej luki w żadnym biuletynie.
Badacz zgłosił problem Google 5 maja. Według heise firma najpierw zamknęła zgłoszenie jako „Will Not Fix”. GrapheneOS przypuszcza, że zawiodła komunikacja wewnątrz Google. Firma publicznie tego nie wyjaśniła.
Jak sprawdzić swój telefon
Według pomocy Google datę poprawek znajdziesz w Ustawieniach, w sekcji „Informacje o telefonie” → „Wersja Androida”, w pozycji „aktualizacja zabezpieczeń Androida”. Nowe aktualizacje sprawdzisz w Ustawieniach → „System” → „Aktualizacje oprogramowania”. U niektórych producentów menu może wyglądać inaczej. BleepingComputer przypomina, że dostępność łatek zależy od producenta i operatora, a do instalacji może być potrzebny restart.
Zainstaluj najnowszą dostępną aktualizację zabezpieczeń i sprawdź jej datę w ustawieniach. Według badacza poprawka jest w aktualizacjach od października, a Google nie podało jeszcze, w którym biuletynie ją opisze.
Android 12 i 13
Badacz i BleepingComputer piszą, że te wersje poprawki nie dostały. Heise dodaje, że Google już ich nie wspiera, więc ochrona zależy od producenta. Pomoc Google przypomina, że najnowsze poprawki wymagają najnowszej wersji Androida dostępnej dla urządzenia, dlatego warto sprawdzić, czy telefon może dostać aktualizację systemu. Źródła nie opisują ustawienia, które blokowałoby takie wiadomości.
Naszym zdaniem, jeśli producent nie oferuje nowszego Androida, telefon zostaje podatny na tę lukę i warto to uwzględnić, decydując, czy ma być twoim głównym telefonem.