Исследователь опубликовал эксплойт для атаки через SMS на Android-смартфоны без последних обновлений
Изображение: OpenAI
Исследователь опубликовал эксплойт для уязвимости CVE-2026-58882, который через специально подготовленную SMS нарушает сотовую связь или вызывает сбой Android-смартфона. По словам исследователя, Google закрыла уязвимость в октябрьских обновлениях для Android 14–17, а устройства на Android 12 и 13 исправления не получили и остаются уязвимыми.
Как сообщает BleepingComputer, атака не требует действий пользователя и может прервать даже экстренный вызов. Уязвимость связана с ошибкой при проверке длины заголовка WAP Push. Из-за неё Android пытается создать массив отрицательного размера, что вызывает сбой процесса com.android.phone, который отвечает за сотовую связь. Пользователь не видит причину сбоя: Android обрабатывает SMS до её попадания во входящие.
В ходе тестов исследователь обнаружил, что отправка 20 вредоносных SMS может вызвать циклические перезагрузки. Для восстановления одного устройства на Android 12 потребовался сброс до заводских настроек. Удалить опасные сообщения можно и через ADB, но для этого нужны компьютер и технические навыки.
В октябрьском бюллетене безопасности Google эта уязвимость при этом не упоминается.
Исправление перехватывает исключения и удаляет вредоносные сообщения из базы SMS, предотвращая повторные сбои. Поскольку рабочий эксплойт уже опубликован, пользователям настоятельно рекомендуют установить последние обновления безопасности. Их доступность зависит от производителя устройства и оператора, а для завершения установки может потребоваться перезагрузка.
