Osiem bajtów w SMS-ie, którego nigdy nie zobaczysz, może wyrzucić telefon z Androidem z sieci
Ta wiadomość nigdy nie trafia do twojej skrzynki odbiorczej. To WAP Push, rodzaj cichego SMS-a, jakiego operatorzy używają do przesyłania ustawień, i ma osiem bajtów. Badacz, który ją odkrył, Mark B, opublikował 29 października pełny opis na smsofdeath.com, a potem umieścił działającą aplikację proof-of-concept na GitHubie. W piątek temat podchwycił BleepingComputer. Luka ma oznaczenie CVE-2026-58882 i nie wymaga od ciebie niczego. Żadnego stuknięcia, żadnego linku, żadnego podglądu.
Dzieje się tam błąd arytmetyczny. Android odczytuje z wiadomości wartość długości, konwertuje ją na typ liczbowy, który nie jest w stanie jej pomieścić, i próbuje zarezerwować ujemną ilość pamięci. Proces telefonu się wywala. Przez sekundę lub dwie nie ma zasięgu, a każda trwająca rozmowa zostaje przerwana, łącznie z połączeniem na numer alarmowy. Samo w sobie to uciążliwość. Kłopot w tym, że sieć nigdy nie dostaje potwierdzenia, więc operator wysyła wiadomość ponownie, a zapisana wiadomość jest odczytywana na nowo przy każdym restarcie procesu. Wyślij ich dwadzieścia, mówi badacz, i telefon wpada w pętlę restartów. Jedno testowe urządzenie z Androidem 12 uruchamiało się ponownie w trybie recovery co 90 sekund, dopóki nie przywrócono mu ustawień fabrycznych.
Google otrzymało zgłoszenie 5 maja, napisało poprawkę w czerwcu i wydało ją w aktualizacji zabezpieczeń z października 2026 dla Androida od 14 do 17, choć nie figuruje ona w październikowym biuletynie. Android 12 i 13 są poza oknem poprawek i pozostają podatne. Pytanie dla ciebie sprowadza się więc do jednej linijki w Ustawieniach, w sekcji Zabezpieczenia albo Informacje o telefonie: daty aktualizacji zabezpieczeń Androida. Październik 2026 lub później i jesteś bezpieczny. Jeśli jest starsza, sprawdź aktualizacje i uruchom telefon ponownie. Jeśli twój telefon nie wyjdzie poza Androida 13, to kolejny powód, by pomyśleć o wymianie. A gdyby telefon kiedykolwiek utknął w ciągłych restartach po takiej serii, nie wybieraj opcji wymazania na ekranie recovery. Technik może usunąć te wiadomości kablem i komputerem.
Tendvane zajmuje się tylko stroną windowsową, ale jego funkcja sprawdzania aktualizacji robi dla twojego komputera to, co ta jedna linijka w Ustawieniach robi dla telefonu: mówi ci, czy poprawki już istnieją i po prostu jeszcze nie dotarły.