Одно SMS может вывести из строя Android-смартфон, а Android 12 и 13 исправления не получат

Исследователь опубликовал рабочий код для атаки на уязвимость Android: любой, кто знает ваш номер, может вывести телефон из строя одним SMS. Сообщение прозвали «SMS смерти»: оно не появляется во входящих и не требует от получателя никаких действий. Оно отключает компонент Android, отвечающий за звонки и сотовую связь, и обрывает текущий разговор — в том числе вызов экстренной службы. Google устранила уязвимость в актуальных версиях Android, но старые телефоны, которые больше не получают обновления безопасности, останутся под угрозой.

Для большинства пользователей вопрос прост: установлено ли на телефоне последнее обновление безопасности? Уязвимость находится в базовом коде Android, который отвечает за телефонию и входит в прошивки всех производителей, поэтому она не связана с какой-то одной маркой. Исследователь, публикующийся под именем Марк Би (Mark B), говорит, что каждый раз добивался сбоя на Google Pixel и нескольких телефонах Samsung Galaxy, в том числе недорогих моделей серии A, на которые исправление ещё не поступило.

Атака использует WAP Push — устаревший формат сообщений, с помощью которого операторы в фоновом режиме отправляют на телефоны настройки. Из-за некорректно сформированного сообщения Android пытается зарезервировать отрицательный объём памяти, и процесс, управляющий звонками и сигналом сети, аварийно завершается. Каждое такое сообщение лишает жертву связи на секунду или две. Но настоящий ущерб наносит повторная отправка: операторы снова и снова передают сообщения, на которые телефон не ответил. В ходе испытаний исследователя одно сообщение вызывало перебои связи, которые то прекращались, то возобновлялись на протяжении недели. Около 20 таких сообщений делали телефон непригодным для использования.

Заражённые сообщения остаются в очереди и обрабатываются при каждом запуске телефона. Один из тестировавшихся телефонов на Android 12 перезагружался в режим восстановления примерно каждые 90 секунд. Обычный владелец смог бы выйти из этого цикла только после сброса к заводским настройкам, который стирает данные с устройства. Участник проекта под ником Сакис (Sakis) нашёл способ удалить только вредоносные сообщения, но для этого нужны компьютер, инструменты разработчика Android и быстрая реакция: действовать нужно в короткий промежуток после каждой перезагрузки.

Исследователь рассматривает уязвимость на примере австралийского экстренного номера Triple Zero и указывает на необычное побочное последствие. По австралийским правилам операторы должны обнаруживать телефоны, которые не могут дозвониться до экстренных служб, и со временем отключать их от сети. Telstra сообщает, что блокирует такие телефоны, если ситуация не меняется в течение 28 дней. По мнению исследователя, злоумышленник, способный по своему желанию срывать экстренные вызовы с телефона, может добиться блокировки устройства самой жертвы.

Однако поводов для паники не так много. Это атака типа «отказ в обслуживании», а не взлом: сообщение не может прочитать ваши данные, установить что-либо на телефон или получить над ним контроль. Злоумышленнику нужны ваш номер и возможность отправлять сообщения с необработанными данными. Опубликованный инструмент отправляет их с другого Android-телефона с SIM-картой, поэтому у оператора остаётся запись. Пока нет ни одного публичного сообщения о том, что уязвимость применяли против реальных людей. Как отмечает BleepingComputer, в октябрьском бюллетене безопасности Google об исправлении тоже не сказано, поэтому владельцы старых телефонов не получили официального предупреждения об угрозе.

Чтобы проверить телефон, откройте «Настройки», перейдите в раздел «О телефоне» или «Безопасность» и посмотрите дату обновления безопасности Android. Обновления от октября 2026 года и позднее уже содержат исправление. Samsung, Motorola, Xiaomi и другие производители выпускают обновления по собственному графику, а операторы могут задерживать их распространение, поэтому даже на телефоне с более новой версией Android исправление может ещё не появиться. Для устройств, которые застряли на Android 12 или 13, единственный способ полностью защититься — перейти на телефон, который продолжает получать обновления.

Исследователь сообщил об уязвимости в программу Google по вознаграждению за обнаружение уязвимостей Android 5 мая. Инженер Google подготовил исправление в середине июня, а в октябрьское обновление безопасности 2026 года оно вошло для Android 14–17. Публичное описание и демонстрационный код появились 29 октября. Google не добавила проверку длины сообщения, которую предлагал исследователь: патч перехватывает сбой и удаляет вредоносное сообщение, чтобы оно не сработало повторно.

В итоге старые Android-телефоны оказываются в странном положении. Звонить с них по-прежнему можно. Но рассчитывать на то, что разговор удастся завершить, уже нельзя.

Теги: Google, кибербезопасность, Android, Google Pixel, Samsung Galaxy, BleepingComputer