SMS-ul morții: un SMS invizibil blochează telefoanele Android

Un singur SMS, care nu apare în căsuța de mesaje și nu cere nicio acțiune din partea destinatarului, este suficient pentru a opri procesul care gestionează telefonia Android, pentru a întrerupe apelurile în curs, inclusiv pe cele către numerele de urgență, și, dacă se repetă, pentru a face telefonul inutilizabil. Vulnerabilitatea, poreclită „SMS of Death” și înregistrată ca CVE-2026-58882, a fost documentată de un cercetător independent, care a publicat și un exploit demonstrativ. Au scris despre ea heise Security (30 octombrie), BleepingComputer (31 octombrie) și Security Affairs (1 noiembrie).

Ce s-a întâmplat

Potrivit cercetătorului, citat de BleepingComputer, Google a corectat defectul prin actualizările de securitate din octombrie 2026 pentru Android 14, 15, 16 și 17, deși corecția nu apărea în buletinul din octombrie. Security Affairs relatează în schimb un mesaj GrapheneOS din 29 octombrie, potrivit căruia CVE-ul are severitate critică în buletinul de securitate Android din noiembrie 2026. Pe Android 12 și 13, unde potrivit cercetătorului codul vulnerabil este prezent, corecția nu a ajuns: aceste dispozitive rămân expuse.

Cu exploitul public, atacul nu mai necesită competențe speciale: potrivit BleepingComputer, codul demonstrativ trimite mesajele malițioase de pe un alt dispozitiv Android.

Detalii tehnice

Defectul se află în componenta WapPushOverSms a framework-ului de telefonie Android (frameworks/opt/telephony), care interpretează mesajele WAP Push: SMS-uri binare procesate automat de sistem, fără intervenția utilizatorului.

• Cauza: funcția decodeWapPdu() citește lungimea antetului WSP, codificată ca uintvar, într-o valoare pe 64 de biți și o convertește într-un întreg cu semn pe 32 de biți fără să verifice intervalul.
• Declanșatorul: un uintvar de 5 octeți (88 80 80 80 00) are valoarea 0x80000000, care ca întreg cu semn pe 32 de biți devine -2147483648. Alocarea unui array de această dimensiune generează o NegativeArraySizeException netratată pe firul principal al telefoniei și oprește procesul com.android.phone.
• Vectorul: un SMS de date trimis către portul WAP Push 2948; potrivit BleepingComputer, mesajul complet are opt octeți. Este procesat înainte să ajungă în căsuța de SMS: fără notificare și fără expeditor vizibil.
• Efectul unui singur mesaj: potrivit analizei relatate de Security Affairs, fiecare procesare întrerupe serviciul telefonic timp de una-două secunde, cât componenta repornește; apelurile în curs se întrerup.
• Persistența: mesajul poate rămâne în coada SMS-urilor primite și poate fi procesat din nou, iar noile încercări de livrare ale operatorului repetă blocarea. Cercetătorul relatează blocări intermitente timp de până la o săptămână după un singur mesaj. Cu aproximativ douăzeci de mesaje telefonul poate intra într-o buclă de reporniri: pe un dispozitiv cu Android 12, scrie BleepingComputer, telefonul repornea în modul de recuperare cam la fiecare 90 de secunde și a trebuit resetat la setările din fabrică.
• Dispozitive testate: potrivit Security Affairs, problema se reproduce pe Google Pixel 9 și pe telefoane Samsung din familiile Galaxy și Galaxy A.

Nu este vorba de execuție de cod sau de furt de date: ținta este disponibilitatea serviciului telefonic. În matricea Mobile MITRE ATT&CK efectul se încadrează în tactica Impact, tehnica T1464 (Network Denial of Service).

Corecția Google, intitulată „Fix remote DoS in decodeWapPdu”, prinde excepțiile generate de mesajele malformate și șterge mesajele malițioase din baza de date a SMS-urilor, ca să nu mai provoace alte blocări.

Impactul pentru companii

Pentru o companie riscul nu este pierderea de date, ci posibilitatea de a fi contactat. Oricine cunoaște numărul unui telefon de serviciu poate întrerupe apelurile acestuia sau, cu mai multe mesaje, îl poate face inutilizabil zile întregi, fără urme vizibile pentru utilizator. Cele mai expuse sunt:

• telefoanele personalului de gardă, ale tehnicienilor de teren și ale responsabililor care trebuie să poată fi contactați în timpul unui incident;
• sănătatea și serviciile de urgență, unde un apel întrerupt sau un medic de negăsit au consecințe directe, cu atât mai mult cu cât defectul afectează și apelurile către numerele de urgență;
• dispozitivele cu Android 12 și 13 încă în uz, care potrivit surselor nu au primit corecția.

Pentru entitățile supuse NIS2, gestionarea dispozitivelor mobile face parte din măsurile privind inventarul activelor și vulnerabilitățile: telefoanele neactualizate în roluri critice sunt un risc de documentat și de tratat.

Ce să faci acum

1. Verifică nivelul de patch al tuturor dispozitivelor Android ale companiei, din consola de gestionare a dispozitivelor mobile sau din Setări › Securitate. Potrivit cercetătorului, este necesară cel puțin actualizarea din octombrie 2026; verifică și buletinul din noiembrie 2026 citat de GrapheneOS și notele producătorului, pentru că disponibilitatea actualizărilor depinde de producător și de operator.
2. Instalează și repornește: actualizările pot necesita o repornire pentru a se finaliza.
3. Înlocuiește sau redistribuie dispozitivele cu Android 12 și 13 folosite de personalul de gardă, de personalul medical și în rolurile care trebuie să rămână contactabile.
4. Pregătește recuperarea: un colaborator de pe GitHub a găsit o metodă de a șterge mesajele malițioase cu Android Debug Bridge (ADB), care necesită un computer și cunoștințe tehnice; alternativa este resetarea la setările din fabrică. Asigură-te că datele companiei de pe telefoane pot fi recuperate.
5. Urmărește simptomele: tratează ca suspecte apelurile întrerupte în mod repetat, pierderile recurente de semnal și repornirile în serie semnalate de utilizatori, mai ales pe dispozitivele neactualizate. Poți întreba și operatorul tău dacă filtrează SMS-urile de date WAP Push malformate trimise către portul 2948.

Ultima actualizare: 1 noiembrie 2026