Вісім байтів у SMS, якого ви ніколи не побачите, можуть вибити Android-телефон із мережі
Це повідомлення ніколи не потрапляє у вашу папку вхідних. Це WAP Push, тихий різновид SMS, яким оператори передають налаштування, і довжина його вісім байтів. Дослідник, який його знайшов, Mark B, опублікував 29 жовтня повний розбір на smsofdeath.com, а потім виклав робочий застосунок proof-of-concept на GitHub. У п'ятницю тему підхопив BleepingComputer. Вразливість має ідентифікатор CVE-2026-58882 і не потребує від вас нічого. Ні дотику, ні посилання, ні попереднього перегляду.
Відбувається математична помилка. Android зчитує з повідомлення значення довжини, перетворює його на числовий тип, який не може його вмістити, і намагається зарезервувати від'ємний обсяг пам'яті. Телефонний процес падає. На секунду-дві зникає мобільний зв'язок, і будь-який поточний дзвінок обривається, включно з дзвінком до екстрених служб. Саме по собі це прикрість. Біда в тому, що мережа так і не отримує підтвердження, тож оператор надсилає повідомлення знову, а збережене повідомлення перечитується щоразу, коли процес перезапускається. Надішліть двадцять таких, каже дослідник, і телефон потрапляє в цикл перезавантажень. Один тестовий пристрій на Android 12 перезавантажувався в режим відновлення кожні 90 секунд, доки його не скинули до заводських налаштувань.
Google отримала звіт 5 травня, написала виправлення в червні й випустила його в жовтневому оновленні безпеки 2026 року для Android з 14 по 17, хоча в жовтневому бюлетені його не вказано. Android 12 і 13 перебувають поза вікном виправлень і залишаються вразливими. Тож питання для вас зводиться до одного рядка в Налаштуваннях, у розділі Безпека або Про телефон: дата оновлення безпеки Android. Жовтень 2026 або пізніше, і ви захищені. Якщо дата старіша, перевірте наявність оновлень і перезавантажте телефон. Якщо ваш телефон не може піднятися вище Android 13, це ще один привід подумати про заміну. А якщо телефон колись застрягне в перезавантаженнях після такої серії, не обирайте пункт стирання на екрані відновлення. Технік може видалити ці повідомлення за допомогою кабеля та ПК.
Tendvane опікується лише Windows, але його перевірка оновлень робить для вашого ПК те саме, що той один рядок у Налаштуваннях робить для телефону: каже, чи виправлення вже існують і просто ще не дійшли до вас.