Уязвимость Android SMS CVE-2026-58882 позволяет удалённо нарушить работу сотовой связи или обрушить телефон одним специально сформированным сообщением. Атака не требует действий владельца устройства и способна прервать уже идущий звонок, включая экстренный; для российских компаний это ещё один повод проверить, насколько быстро корпоративный парк получает Android-патчи.
Об уязвимости сообщает BleepingComputer. Исследователь безопасности Марк Блах опубликовал технический разбор и proof-of-concept: вредоносное WAP Push-сообщение отправляется как data SMS на порт 2948. Оно обрабатывается системой раньше, чем попадает во входящие, поэтому пользователь не увидит ни подозрительного текста, ни уведомления, которое объяснило бы внезапный сбой связи.
Проблема находится в функции WapPushOverSms.decodeWapPdu. В заголовке сообщения атакующий задаёт некорректную длину: после преобразования в знаковое 32-битное число она становится равна −2147483648. При попытке выделить массив такого размера Android выбрасывает NegativeArraySizeException, а процесс com.android.phone завершается. Именно этот процесс управляет мобильной связью, поэтому смартфон теряет сеть и разрывает активные вызовы.
В демонстрации используется всего восемь байт данных. Это делает сценарий неприятным не сложностью эксплуатации, а её дистанционностью: злоумышленнику нужен номер цели и возможность отправить data SMS. Ни фишинговая ссылка, ни установка приложения, ни подтверждение на экране жертвы не требуются. В практическом смысле это отказ в обслуживании, а не захват устройства: источник не говорит о краже данных или выполнении произвольного кода.
Риск не ограничивается единичным падением телефонного процесса. Оператор может повторно доставлять сообщение, а Android — снова пытаться обработать уже сохранённую запись. По данным исследователя, серия из 20 вредоносных сообщений способна загнать аппарат в цикл перезагрузок. Один протестированный смартфон на Android 12 примерно раз в 90 секунд уходил в recovery; для восстановления потребовался сброс к заводским настройкам.
Google, по данным Блаха, исправила ошибку в октябрьских обновлениях безопасности Android 2026 года для Android 14–17. Патч называется Fix remote DoS in decodeWapPdu: он перехватывает исключение при разборе некорректного сообщения и удаляет опасную запись из базы SMS, чтобы она не вызывала новые сбои после перезапуска. При этом CVE-2026-58882 не фигурирует в октябрьском бюллетене безопасности Google, а устройства на Android 12 и 13 исправление не получили и остаются уязвимыми.
Для ИТ-служб здесь важны не только версии ОС, но и фактический статус обновления. Поддерживаемые Android-устройства обычно загружают патчи автоматически, однако выпуск обновлений зависит от производителя и оператора, а установка может ждать перезагрузки. В MDM-парке полезно отделить «обновление скачано» от «патч применён»: в этом случае телефон с давно отложенным рестартом всё ещё является точкой отказа для сотрудника в дороге, курьера, дежурного инженера или руководителя.
Уязвимость Android SMS также показывает старую проблему фрагментации: код исправлен у платформы, но уровень защиты определяется жизненным циклом конкретного аппарата. Разработчикам корпоративных мобильных сервисов это не даёт прямого способа защитить приложение — обработка происходит ниже его уровня. Бизнесу остаются управление версиями, политика замены неподдерживаемых моделей и запасной канал связи для критичных ролей.
Публикация рабочего PoC меняет приоритет с теоретического на операционный: защитный патч существует, а воспроизводимый способ вызвать сбой уже доступен. В ближайшие недели главным индикатором станет не наличие исправления у Google, а скорость, с которой производители и операторы донесут его до старых и корпоративных устройств. Технический разбор и сведения о демонстрации опубликованы у .
