Android ma lukę „SMS of Death”. Jedna wiadomość może wyłączyć telefon
Nie trzeba otwierać wiadomości ani klikać w link, aby zaatakować niezałatanego Androida. Badacz bezpieczeństwa Mark Blaszczyk opisał podatność nazwaną „SMS of Death”, która pozwala zdalnie wywołać awarię procesu odpowiedzialnego za łączność komórkową. Skutkiem może być utrata zasięgu, przerwanie rozmowy, a w skrajnym scenariuszu pętla restartów telefonu.
Luka otrzymała oznaczenie CVE-2026-58882. Według opisu badacza problem dotyczy obsługi specjalnie spreparowanych wiadomości WAP Push, czyli danych dostarczanych przez mechanizm SMS na poziomie systemu, zanim trafią do zwykłej skrzynki odbiorczej. To dlatego użytkownik nie musi niczego zatwierdzać i może nawet nie zobaczyć podejrzanej wiadomości.
Jak działa atak?
Błędnie zbudowany nagłówek może doprowadzić do nieobsłużonego wyjątku w funkcji WapPushOverSms.decodeWapPdu, a następnie zakończyć działanie procesu com.android.phone. Ten element odpowiada za podstawowe funkcje telefoniczne, więc awaria może rozłączyć trwające połączenie, także alarmowe. Ponowne dostarczenie komunikatu przez operatora może wywoływać kolejne awarie, a seria około 20 spreparowanych wiadomości podczas testów prowadziła do pętli restartów.
Nie jest to luka służąca do kradzieży haseł czy zdjęć. Mówimy o ataku typu denial of service, którego celem jest unieruchomienie funkcji urządzenia.
Kogo dotyczy problem?
Znaczenie ma wersja Androida oraz poziom poprawek bezpieczeństwa, a także to, czy producent i operator udostępnili aktualizację dla danego modelu. Badacz twierdzi, że poprawka trafiła do zmian dla Androida 14–17 w ramach aktualizacji z października 2026 roku. Jednocześnie CVE-2026-58882 nie figuruje w publicznym październikowym biuletynie bezpieczeństwa Androida. Google potwierdza w nim poziom poprawek 2026-10-01 dla wymienionych problemów, ale nie potwierdza wprost tej konkretnej luki. Harmonogram opisany przez badacza pozostaje więc zastrzeżeniem, a nie niezależnie potwierdzoną informacją Google.
Szczególnie problematyczne są starsze urządzenia z Androidem 12 i 13, które nie otrzymują już regularnych aktualizacji. Nie należy zakładać, że poprawka pojawi się na nich automatycznie.
Co zrobić teraz?
Wejdź w Ustawienia > System > Aktualizacja oprogramowania lub odpowiednią sekcję u producenta i sprawdź wersję systemu oraz datę poprawki bezpieczeństwa. Zainstaluj najnowszą dostępną aktualizację i uruchom telefon ponownie. Jeśli urządzenie zacznie tracić zasięg, rozłączać rozmowy i restartować się bez widocznej przyczyny, pomoc serwisu może być konieczna. Odzyskanie telefonu bez przywracania ustawień fabrycznych może wymagać Android Debug Bridge, narzędzia dla zaawansowanych użytkowników.
Nie ma obecnie potwierdzenia, że luka jest masowo wykorzystywana w rzeczywistych atakach. Publiczny opis i demonstracja są jednak wystarczającym powodem, by nie odkładać sprawdzenia aktualizacji.
Źródła
Autor Artykułu
Paweł Lisowski
Paweł Lisowski - pasjonat technologii, komputerów i internetu. Od wielu lat śledzi rozwój sprzętu i oprogramowania, testuje nowe rozwiązania i dzieli się wiedzą z czytelnikami. Zafascynowany wpływem technologii na codzienne życie, tworzy praktyczne poradniki i inspiruje do świadomego korzystania z cyfrowego świata.