Вышел эксплойт для уязвимости «SMS смерти» на Android

Раскрыты детали и опубликован эксплойт для уязвимости (CVE-2026-58882) в платформе Android. Она позволяет добиться зацикленной перезагрузки через отправку специально оформленного SMS‑сообщения.

«SMS смерти» (SMS of Death) — недавно обнаруженная уязвимость в Android, способная вывести телефон из строя. Такое сообщение остается скрытым: оно не появляется во входящих, но при этом может полностью парализовать работу устройства. Об этом баге первым сообщил исследователь в области кибербезопасности Марк Блащик.

«SMS смерти» представляет собой специально сформированное текстовое сообщение, которое система Android не в состоянии корректно обработать. В итоге программный компонент, отвечающий за вызовы, даёт сбой, из‑за чего прерываются любые текущие звонки — в том числе экстренные (например, по номеру 911).

Блащик также предупреждает, что всего около 20 таких вредоносных сообщений могут сделать Android‑смартфон совершенно неработоспособным: устройство попадёт в бесконечный цикл перезагрузки (bootloop), поскольку операционная система будет постоянно пытаться обработать эти SMS.

При этом «SMS смерти» практически невозможно обнаружить. Сообщение даже не доходит до папки «Входящие» — оно вызывает мгновенный сбой системы, поэтому пользователь не получает никаких уведомлений. Даже сброс до заводских настроек не решает проблему. Если злоумышленник отправил серию таких сообщений, оператор связи будет продолжать попытки их доставки, из‑за чего телефон будет «зависать» или перезагружаться каждый раз при включении.

Возможно, сообщения удастся увидеть и удалить, подключив телефон к компьютеру, но для многих пользователей это может оказаться слишком сложной задачей. Марку удалось воссоздать код такого сообщения и опубликовать его на GitHub, а также на специальном сайте SMSofDeath. По словам исследователя, ему удалось вызвать сбой на смартфонах Google Pixel и Samsung Galaxy, работающих под управлением Android версий с 12 по 16.

Блащик впервые сообщил о проблеме в Google 5 мая, однако компания неоднократно отклоняла его отчёт, утверждая, что это не уязвимость в системе безопасности. Когда 29 октября Марк публично раскрыл информацию об уязвимости и выложил рабочий пример «SMS смерти», выяснилось, что Google уже некоторое время работала над исправлением — вероятно, с того самого момента, как исследователь связался с компанией.

Согласно записям в исходном коде Android, исправление было готово еще 15 июня; оно позволяет удалять подобные сообщения, не допуская их обработки системой. Позднее представители GrapheneOS уточнили в социальной сети X, что Google распространила исправление через предварительные выпуски обновлений безопасности ещё в июле — за несколько месяцев до того, как исследователь публично сообщил об уязвимости.

Google также присвоила этой уязвимости статус критической и включила её в ноябрьский бюллетень безопасности Android.

Ситуация, вероятно, стала следствием недопонимания между инженерами Google и командой, отвечающей за обработку сообщений об уязвимостях.

Тем не менее, исправление уже вошло в октябрьские обновления безопасности Android для версий с 14-й по 17-ю.

При этом весной Google пересмотрела свои программы вознаграждения за обнаружение уязвимостей в Android и Chrome. Компания теперь предлагает вознаграждение до $1,5 млн за выявление самых сложных эксплойтов, одновременно сокращая выплаты за уязвимости, которые стало проще обнаруживать при помощи искусственного интеллекта.