Одно специально составленное SMS может оборвать звонок и на время отключить мобильную связь на Android-смартфоне, а несколько таких сообщений — сделать телефон практически непригодным к работе. Уязвимость, которую назвали SMS of Death («смертельное SMS»), нашёл исследователь безопасности Марк Блащик. Владельцу ничего не нужно нажимать: сообщение не появляется во входящих, и человек не видит, что ему вообще что-то пришло.
Атака использует WAP Push — старый служебный тип SMS, через который операторы отправляют телефонам настройки без участия пользователя. Злоумышленник присылает короткое сообщение размером около 8 байт с неправильно заданной длиной заголовка. Система пытается обработать его в фоне, ошибается в расчётах и аварийно завершает работу телефонного модуля Android — той части системы, которая отвечает за звонки и связь.
Последствия, по данным исследователя:
- текущий разговор обрывается, в том числе звонок в экстренные службы;
- сеть пропадает на одну-две секунды, пока модуль перезапускается;
- телефон не подтверждает получение сообщения, поэтому оператор отправляет его снова и снова;
- около 20 таких SMS надолго выводят смартфон из строя, а сбой может повторяться при каждом включении;
- сброс к заводским настройкам не помогает, потому что оператор продолжает досылать сообщения из очереди.
Как сообщает GSMArena, уязвимы все устройства на Android 12 и новее. Блащик проверил атаку на Google Pixel 9 и нескольких смартфонах Samsung Galaxy, включая модели массовой серии Galaxy A. Случаев реального использования уязвимости злоумышленниками пока не зафиксировано, но исследователь опубликовал демонстрационный код.
Исправление Google подготовила ещё 15 июня и добавила его в открытый код Android. По данным GSMArena и Cybernews, защита пришла на смартфоны с Android 14 и новее вместе с октябрьским обновлением безопасности 2026 года. Разработчики GrapheneOS говорят, что исправление также входит в ноябрьский бюллетень безопасности Android. Для Android 12 и 13 защиты пока нет. Владельцам Android-смартфонов советуют проверить в настройках раздел обновлений и установить последний патч безопасности, как только его выпустит производитель телефона.
Блащик сообщил о проблеме Google 5 мая 2026 года через программу вознаграждений за найденные уязвимости. Как пишет издание Cyber Kendra, компания закрыла заявку как «неисправимую», хотя за пять дней до этого её инженер уже написал исправление. 29 октября Google окончательно решила, что ошибка не дотягивает до порога серьёзности, и отнесла её к обычным сбоям, а не к проблемам безопасности. После этого исследователь опубликовал подробности.
Похожая ошибка в обработке WAP Push уже встречалась в Android: в 2009 году Google закрыла аналогичную уязвимость, из-за которой телефоны падали после получения специального сообщения.
