Всеки смартфон с Android може дистанционно да бъде превърнат в „тухла” (напълно неизползваемо устройство) чрез един-единствен „убийствен” SMS, алармират специалисти по кибурсигурност. И това може да се случи без жертвата да прави каквото и да е с телефона си.
В интернет беше публикуван експлойт, който позволява дистанционно деактивиране на смартфон с Android за продължителен период от време – при това по такъв начин, че жертвата може дори да не разбере какво се е случило. Достатъчно е да се изпратят един или повече специално подготвени служебни SMS-а.
„Убийствен” SMS за Android
В мобилната платформа Android е открита уязвимост, която позволява на нападател да прекъсне клетъчната връзка на потребителя или да предизвика срив в операционната система на смартфона чрез изпращане на специално форматирано текстово съобщение, съобщи Bleeping Computer.
На критичната уязвимост, неофициално наречена „SMS на смъртта” (SMS of Death), е присвоен идентификатор CVE-2026-58882. Става въпрос за уязвимост от типа „zero-click” (без нужда от кликване) – това означава, че за нейното експлоатиране не се изисква никакво действие от страна на жертвата.
Нещо повече, жертвата може дори да не разбере, че е била атакувана, тъй като Android обработва SMS-ите във фонов режим, преди те да се появят във входящата кутия на потребителя. В случая с този „убийствен” SMS, системата се срива, още преди обработката на съобщението да е завършила.
Информация за уязвимостта CVE-2026-58882, заедно с експлойт, беше публикувана от изследователя на киберсигурността Марк Бла. Според него, Google са отстранили дефекта в актуализация от октомври 2026 г. за версиите на Android от 14 до 17.
Тази поправка обаче не е спомената в официалния бюлетин за сигурност или в бележките към актуализацията на операционната система. Междувременно версиите на Android 12 и 13 остават уязвими.
Механизъм на уязвимостта
Както обяснява Бла, уязвимостта произтича от неправилна проверка на стойността за дължината на заглавната част (header) във функцията „Android WapPushOverSms.decodeWapPdu”, която се използва за обработка на входящи служебни SMS-и във формат WAP Push.
Когато тази функция обработва специално подготвено 8-байтово WAP Push съобщение – „01 06 88 80 80 80 00 BE” – тя прочита стойност, която указва дължината на заглавната част. Тази стойност се декодира и записва в променлива от тип „long” (64-битово цяло число). След това се преобразува (cast) в 32-битово цяло число със знак („int”), без да се извършва проверка дали стойността остава в допустимия диапазон.
Тъй като максималната положителна стойност за 32-битово цяло число със знак е 2 147 483 647, резултатът от това преобразуване надхвърля лимита, което кара променливата да приеме отрицателна стойност: -2 147 483 648.
Впоследствие се заделя памет за масив, предназначен да съхрани заглавната част (header), като размерът му се определя от тази вече отрицателна стойност. Това предизвиква изключение от тип „NegativeArraySizeException”.
Тъй като разработчиците не са предвидили това изключение, процесът „com.android.phone” – основен компонент на Android, отговарящ за телефонните функции – се срива, без потребителят да бъде уведомен.
Изследователят отбелязва, че след получаване на такъв SMS, телефонните функции на устройството спират да реагират за 1-2 секунди – времето, необходимо за рестартиране на процеса „com.android.phone”.
Ако мобилният оператор продължи да прави опити за доставка на съобщението (механизъм, известен като „повторна доставка от оператора” или „Carrier Redelivery”), нападателят би могъл да направи смартфона на жертвата неизползваем за продължителен период – до една седмица – само с един-единствен SMS.
Поредица от 20 съобщения може да превърне устройството в „тухла” (напълно неизползваемо състояние), която постоянно се рестартира. За щастие, проблемът може да бъде отстранен чрез инструмента Android Debug Bridge (ADB) или чрез възстановяване на фабричните настройки.
Марк Бла твърди, че атаката е 100% ефективна. Тя е потвърдена при няколко смартфона от сериите Samsung Galaxy и A, както и при Google Pixel 9 с фърмуер от април.
Подобни уязвимости в iOS
През 2015 г. в iOS на Apple – операционната система за iPhone – беше открит бъг, който позволяваше принудително рестартиране на устройството чрез изпращане на текстово съобщение през iMessage. По онова време проблемът беше свързан с начина, по който системата обработваше символи от арабската азбука.
През 2019 г. в iMessage беше открита още една уязвимост, която можеше да направи един iPhone неизползваем. Този дефект беше открит от Натали Силванович, член на екипа Project Zero на Google. Макар че беше възможно устройството да бъде възстановено до работно състояние, това водеше до загуба на всички данни.
