Egy újonnan nyilvánosságra hozott, működő proof of concept (PoC) azt demonstrálja, hogyan lehet egy speciálisan kialakított SMS-sel összeomlasztani vagy átmenetileg elérhetetlenné tenni egy sebezhető Android telefon mobilhálózati szolgáltatásait. A „SMS of Death” néven emlegetett hibát CVE-2026-58882 azonosítóval követik. A támadás nem igényel közreműködést az áldozattól. Az üzenetet a rendszer még azelőtt feldolgozza, hogy az megjelenne az SMS-ek között.

A hiba különösen veszélyes következménye, hogy a telefon megszakíthatja az éppen folyó hívásokat, a segélyhívást is beleértve. A Google javította a hibát az Android 14 – 17-es verzióihoz kiadott 2026. októberi frissítésben, de a kutató szerint az Android 12-es és 13-as készülékekre nem érkezett meg a javítás. A Google októberi biztonsági közleménye ugyanakkor nem sorolja fel ezt a hibát a közzétett sérülékenységek között, ezért a javítási státuszt az érintett eszközökön a tényleges biztonsági javítási szint ellenőrzésével érdemes megállapítani.

A sérülékenység az Android telekommunikációs keretrendszerének WAP Push üzeneteket feldolgozó részében, a WapPushOverSms.decodeWapPdu függvényben található. A kutató technikai elemzése szerint a rendszer megfelelő tartományellenőrzés nélkül alakít át egy üzenetfejlécből származó értéket előjeles, 32 bites számmá, majd ezt használja egy memóriaterület méretének meghatározására. A hibás érték így negatívvá válik, amire a program nem megfelelően reagál, kivétel keletkezik, és összeomlik a com.android.phone folyamat. Ez a folyamat a telefon mobilhálózati és hívási funkcióiban is részt vesz.

Az üzenet adat SMS-ként, WAP Push formátumban érkezik, ezért nem feltétlenül látszik a hagyományos üzenetlistában. A felhasználó így nem biztos, hogy értesül róla, mi okozta a hálózati kapcsolat megszakadását vagy a hívás bontását. Egyetlen ilyen üzenet is rövid szolgáltatáskiesést és aktív hívás megszakadását okozhatja. A kutató szerint a szolgáltató ismételt kézbesítési próbálkozásai további összeomlásokhoz vezethetnek.

A kutató azt is jelezte, hogy több rosszindulatú üzenet tartósabb hibát idézhet elő. Tesztjeiben körülbelül húsz üzenet után egyes telefonok újraindulási ciklusba kerültek. Egy Android 12-es készülék nagyjából 90 másodpercenként indult újra, majd helyreállítási módba lépett. A hibás üzenetek eltávolítása számítógépet és Android Debug Bridge-et (ADB) igényelhet, tehát az átlagos felhasználónak nehéz lehet a helyreállítás.

A Google 2026. június 15-én készítette el a decodeWapPdu távoli szolgáltatásmegtagadást javító módosítását. A javítás elkapja a WAP Push üzenetek feldolgozása során keletkező futásidejű kivételeket, és törli a hibás üzenetet az SMS-adatbázisból. Ez utóbbi azért fontos, mert a telefon vagy a szolgáltató újrapróbálkozása különben ismét kiválthatná az összeomlást.

A hibát a kutató Android 12 – 16-ot futtató készülékeken reprodukálta, és beszámolója szerint a Google javítása az októberi biztonsági frissítésben Android 14 – 17-es rendszerekre érhető el. A Google általános októberi biztonsági közleménye a 2026-10-01 javítási szinttel több hibát felsorol, de a CVE-2026-58882 nem szerepel benne. Ezért a cikkben említett javítási információt a kutató és a közzétett forráskód alapján kell kezelni, nem a közleményben külön nevesített CVE-ként.

A legfontosabb védekezés a telefon operációs rendszerének és biztonsági javításainak frissítése. A beállítások között ellenőrizzük az Android verzióját és a biztonsági frissítés dátumát, majd telepítsük az elérhető frissítéseket, és indítsuk újra a készüléket, ha ezt kéri. A frissítés elérhetősége készülékgyártótól, modelltől és szolgáltatótól is függhet. Ha Android 12 vagy 13 fut a telefonon, és már nem érkezik hozzá biztonsági frissítés, a sérülékenységre hivatkozó kutatói beszámoló alapján érdemes fokozott óvatossággal kezelni a készüléket, és érdeklődni a gyártónál az elérhető javításokról.

A PoC kód nyilvános, saját Android eszközről küldhető vele a hibás WAP Push SMS.

(forrás)