„SMS śmierci” potrafi zdalnie wyłączyć telefon z Androidem. Naprawa istnieje, ale starsze telefony prawdopodobnie jej nie otrzymają

Telefon sam rozłącza się w trakcie rozmowy, na chwilę traci sygnał, a następnie zaczyna się ciągle restartować. Dokładnie taki scenariusz opisuje badacz bezpieczeństwa Mark Blaszczyk, który ujawnił lukę w Androidzie o wymownej nazwie SMS śmierci. Dotyczy ona wersji Androida od 12 do 17, a atakującemu wystarczy znać Twój numer telefonu.

Wystarczy jedna wiadomość, której nawet nie zobaczysz

Jak Blaszczyk opisuje na stronie poświęconej błędowi, jest to atak, w którym ofiara nie musi robić nic złego (w przeciwieństwie np. do phishingu). Atakujący wysyła zmodyfikowaną wiadomość typu WAP Push – przestarzały rodzaj SMS-a, za pomocą którego operatorzy wysyłają telefonom ukryte instrukcje, np. dotyczące pobierania MMS-ów lub konfiguracji sieci. Podczas jej przetwarzania Android napotyka błędnie obsłużoną wartość, a systemowa usługa telefoniczna ulega awarii. Trwające połączenia są natychmiast przerywane, w tym te na numery alarmowe. Wiadomość w ogóle się nie wyświetla, więc nie widać nawet numeru nadawcy.

Gorsze jest to, co następuje. Telefon próbuje przetworzyć wiadomość ponownie przy każdym uruchomieniu, więc awaria się powtarza. Według badacza wystarczy około 20 takich wiadomości, a telefon staje się praktycznie bezużyteczny. Mniej więcej co 90 sekund restartuje się do trybu odzyskiwania i oferuje usunięcie danych. Operatorzy dodatkowo dostarczają niepotwierdzone wiadomości wielokrotnie, więc w jego testach pojedynczy SMS powodował awarie nawet przez tydzień. Błąd powtórzył ze stuprocentową skutecznością na Pixelu 9 oraz na wielu telefonach Samsung Galaxy.

Google początkowo odrzucił błąd, ale naprawa już istnieje

Blaszczyk zgłosił błąd Google’owi już 5 maja. Ten rzekomo wielokrotnie określał go jako problem niezwiązany z bezpieczeństwem i zamknął zgłoszenie jako „Will Not Fix”. Badacz dlatego 29 października opublikował szczegóły oraz działającą demonstrację ataku. Jak jednak zauważa niemiecki serwis Heise Online, inżynierowie Google’a przygotowali poprawkę już 15 czerwca. Według projektu GrapheneOS producenci otrzymali ją w lipcu w ramach wstępnych pakietów bezpieczeństwa, a odrzucenie zgłoszenia mogło być wewnętrznym nieporozumieniem.

Błąd ma oznaczenie CVE-2026-58882 o krytycznym stopniu ważności i ma pojawić się w listopadowym biuletynie bezpieczeństwa. Sama poprawka, według badacza, jest częścią październikowej aktualizacji bezpieczeństwa dla Androida 14 do 17, a telefony z poziomem zabezpieczeń z października 2026 lub nowszym są według niego chronione. Ponieważ jednak Google oficjalnie umieści błąd dopiero w listopadowym biuletynie, pewność da raczej listopadowa łatka. Poziom zabezpieczeń znajdziesz w ustawieniach telefonu, zazwyczaj w sekcji O telefonie. Kiedy poszczególne telefony otrzymają łatkę, zależy od ich producentów.

Gorzej mają właściciele starszych urządzeń z Androidem 12 i 13, których Google już nie wspiera. Prawdopodobnie nie otrzymają poprawki, chyba że producent przygotuje ją samodzielnie.

Jaki poziom zabezpieczeń ma Twój telefon?

Źródła: SMS of Death (Mark Blaszczyk), heise online, Android Authority