Одне єдине коротке повідомлення, невидиме для користувача, може зробити Android-смартфон непридатним і навіть перервати поточний екстрений виклик. Про це, за власними словами, повідомив дослідник безпеки Марк Блащик у четвер, 29 жовтня, як пише IT-портал heise.de. За даними heise.de, ймовірно, йдеться про версії Android від 12 до 17.
Вразливість уже має ідентифікатор CVE-2026-58882, і Google класифікує її як критичну. Сам Блащик говорить про «дистанційовану zero-click атаку типу відмова в обслуговуванні з тривалою дією» — цитує його heise.de. Zero-click означає: нікому не потрібно натискати посилання чи встановлювати застосунок. Уже сама технічна обробка повідомлення викликає помилку, як пояснює Süddeutsche Zeitung.
Як одне повідомлення виводить телефон з ладу
Атака відбувається через застарілу систему WAP-push, за допомогою якої мобільні оператори надсилають пристроям приховані інструкції — наприклад, для переймання налаштувань мережі. За даними heise.de, Android при цьому перетворює маніпульоване значення довжини в заголовку WSP на від’ємний розмір масиву. Наслідком є необроблений виняток NegativeArraySizeException, і телефонна служба «com.android.phone» аварійно завершується. winfuture.de описує той самий механізм як відсутність перевірки діапазону у файлі «WapPushOverSms.java».
Постраждалим це важко помітити: повідомлення не з’являються у вхідних. Якщо помилку не виправити, смартфон, за даними heise.de, перезавантажується приблизно кожні 90 секунд; web.de і WirtschaftsWoche називають близько півтори хвилини. Крім того, з’являється вимога видалити дані в режимі відновлення. Хто там вибере «Wipe data», втратить усі дані на пристрої — від цього всі джерела рішуче застерігають.
Блащик, за власними словами, зміг відтворити помилку на 100 відсотків, зокрема на Pixel 9 і різних пристроях Samsung Galaxy. Оператори мереж повторно доставляють непідтверджені повідомлення, тож збій повторюється. У його тестах навіть одна єдина SMS спричиняла збої до одного тижня; близько 20 таких повідомлень могли б практично назавжди зробити смартфон непридатним, за словами дослідника.
Патч для Android 14–17 — і що це означає для старіших пристроїв
Google, за даними heise.de, уже відреагував: дослідник поінформував компанію 5 травня, 15 червня з’явилося виправлення, яке, очевидно, було внесено 5 серпня і лише в жовтні публічно передано до Android Open Source Project. За даними проєкту GrapheneOS, Google надав патч ще в липні через попередні перегляди безпеки. У жовтні з’явився патч безпеки для Android 14–17, але його не було опубліковано в жовтневому бюлетені; вразливість мають внести до листопадового бюлетеня як критичну.
Проблема в тому, що оновлення безпеки зазвичай розповсюджують виробники пристроїв. Хто не має смартфона Pixel, за даними web.de і WirtschaftsWoche, може чекати на патч тижнями або навіть місяцями. На пристроях з Android 12 або 13 вразливість, за оцінкою джерел, з високою ймовірністю залишиться, бо Google більше не підтримує ці версії — хіба що виробник сам розробить виправлення. Süddeutsche Zeitung наголошує, що сам номер версії Android нічого не говорить про те, чи захищений пристрій; вирішальним є те, чи справді встановлено виправлення.
Примітна передісторія: Google спочатку закрив звіт дослідника про помилку як «Will Not Fix». GrapheneOS припускає в X, що звіт, можливо, було оброблено неправильно — наприклад, як дублікат, а не як «WONTFIX». heise.de оцінює це як можливий внутрішній збій комунікації.
Що тепер можуть зробити постраждалі
Хто хоче вивести свій пристрій із циклу перезавантажень, за словами Блащика, має під’єднати його до комп’ютера й скористатися інструментом розробника Android Debug Bridge (ADB). Через командний рядок можна видалити помилкові повідомлення з черги в короткому проміжку часу після перезавантаження, описує winfuture.de. Без цього кроку пристрій практично залишається заблокованим.
- Регулярно перевіряти в налаштуваннях у розділі «Система/Оновлення програмного забезпечення» або подібному, чи доступне оновлення безпеки.
- У меню відновлення в жодному разі не вибирати «Wipe data».
- Резервна копія не запобігає атаці, але може уникнути втрати даних під час пізнішого відновлення, як зауважує Süddeutsche Zeitung.
- Антивірусні застосунки, VPN-сервіси та менеджери паролів, за оцінкою Süddeutsche Zeitung, не можуть замінити відсутній системний патч.
winfuture.de також указує на можливі регуляторні наслідки в Австралії: там мобільні оператори повинні блокувати пристрої, які не можуть надійно додзвонитися до екстреної служби. Отже, зловмисник міг би віддалено домогтися того, щоб провайдер через 28 днів відключив уражений смартфон від мережі. Прямого викрадення фото, паролів чи банківських даних через цю вразливість, за даними Süddeutsche Zeitung, не зафіксовано.
Примітка редакції: чи і коли німецькі виробники випустять патчі для старіших пристроїв, із наявних джерел не випливає. Користувачам слід стежити за повідомленнями про оновлення на своєму пристрої.
