Android-смартфон можно лишить мобильной связи одним специально подготовленным SMS, причём владельцу не нужно открывать сообщение, нажимать на ссылку или даже видеть уведомление. Ошибка обрушает системный процесс телефонии, прерывает текущие разговоры, включая звонки в экстренные службы, а серия сообщений способна загнать устройство в цикл сбоев и перезагрузок.
Независимый исследователь раскрыл уязвимость 29 октября после нескольких месяцев закрытого обсуждения с Google. Атака получила название SMS of Death и относится к классу Zero Click, поскольку никакого участия владельца смартфона для запуска ошибки не требуется.
Проблема скрывается в обработчике WAP Push, старого механизма доставки служебных данных через мобильную сеть. Операторы и приложения исторически использовали WAP Push, например, при работе с MMS и настройками мобильных сервисов. Вредоносное сообщение передаётся как data SMS на служебный порт и не попадает в обычный список переписки, поэтому владелец не видит ни текста, ни номера отправителя.
Ошибка возникает внутри компонента WapPushOverSms при чтении длины заголовка WAP. Android сначала получает числовое значение в 64-битном формате, а затем преобразует значение в 32-битное знаковое целое без проверки допустимого диапазона. Специально подобранное значение после преобразования становится отрицательным, и система пытается создать массив отрицательного размера. Java выбрасывает исключение NegativeArraySizeException, после чего процесс com.android.phone аварийно завершается.
Перезапуск процесса занимает всего одну-две секунды, но даже короткого сбоя хватает для разрыва текущего голосового вызова. Повторная отправка превращает ошибку в удалённый отказ в обслуживании. В тестах исследователя один повреждённый SMS в отдельных случаях вызывал периодические проблемы со связью на протяжении недели, а примерно 20 сообщений надолго делали смартфон практически непригодным для использования.
Дополнительную проблему создаёт сама логика доставки SMS. При аварийном завершении процесса смартфон может не успеть подтвердить получение сообщения, после чего мобильная сеть отправит повреждённый пакет повторно. Копия также остаётся во внутренней очереди Android и снова обрабатывается после перезагрузки. В результате единственное вредоносное сообщение способно запускать новый сбой без дополнительной отправки со стороны атакующего.
Исследователь воспроизвёл ошибку на Pixel 9 с прошивкой апреля 2026 года, а также на нескольких моделях Samsung Galaxy и Galaxy A. Во время проверок сбой возникал каждый раз. Уязвимый код удалось воспроизвести начиная с Android 12 и вплоть до Android 16, а автор исследования относит к затронутому диапазону Android 12-17. Исправление выпущено для Android 14-17.
При длительном цикле сбоев Android может задействовать встроенный механизм Rescue Party. Система пытается автоматически восстановить работу устройства, постепенно применяя более радикальные меры. Последняя ступень переводит смартфон в режим восстановления и предлагает сброс к заводским настройкам, что для неподготовленного владельца может закончиться потерей локальных данных.
Полный сброс нужен не всегда. Повреждённые записи можно удалить из внутренней очереди SMS через Android Debug Bridge, но для восстановления потребуется компьютер, доступ к ADB и короткий промежуток времени, когда Android успевает загрузиться до очередного сбоя. Обычному владельцу смартфона такой способ трудно использовать без технической подготовки.
Google подготовила исправление 15 июня. Разработчики не стали ограничиваться проверкой исходного числового значения. Патч перехватывает RuntimeException при обработке WAP Push и удаляет повреждённое сообщение из внутренней базы, чтобы Android не пытался разбирать тот же пакет после повторной доставки или следующей загрузки.
По данным автора исследования, исправление вошло в октябрьский релиз Android для версий 14-17. Официальный бюллетень за октябрь при этом отдельно не описывает SMS of Death, поэтому владельцам смартфонов лучше ориентироваться на свежую прошивку конкретного производителя, а не только на номер версии Android. Устройства с Android 12 и 13 могут остаться без исправления, если производитель больше не выпускает патчи или не перенесёт защиту самостоятельно.
Исследователь также опубликовал рабочую демонстрацию атаки. Программа формирует повреждённый WAP Push и отправляет пакет на выбранный номер телефона, поэтому технические детали уже доступны публично. Подтверждённых сведений о применении SMS of Death в реальных атаках пока нет, но публикация рабочего кода упрощает проверку уязвимых устройств и одновременно снижает порог для возможных злоумышленников.
