Обновлено: 1 ноября 2026 года.
В Android публично раскрыта уязвимость, получившая неофициальное название «SMS of Death». Речь не о краже фотографий, паролей или удалённом контроле над смартфоном. Риск другой и весьма неприятный: специально сформированное служебное сообщение способно нарушить работу телефонной службы, оборвать текущий разговор и при многократной отправке довести устройство до постоянных сбоев или перезагрузок.
Проблема отслеживается как CVE-2026-58882. Главное действие для владельца Android-смартфона сейчас простое: проверить доступные системные обновления и установить свежий патч безопасности. Ориентироваться только на номер Android недостаточно — решает обновление, фактически выпущенное для конкретной модели производителем.
Что произошло
Исследователь Марк Блащик сообщил об ошибке в обработке WAP Push — особого типа служебных сообщений мобильной сети. Такие сообщения отличаются от обычных SMS: они могут обрабатываться системой в фоне, не появляться в привычном приложении «Сообщения» и не сопровождаться уведомлением. Поэтому пользователь не увидит подозрительного текста, имени отправителя или кнопки, которую можно было бы проигнорировать.
По данным Android Authority, специально составленное WAP Push-сообщение может вызвать сбой компонента Android, отвечающего за телефонные вызовы. В результате способен оборваться и обычный разговор, и звонок в экстренную службу. Если система снова пытается обработать проблемное сообщение, сбой может повторяться. Исследователь сообщал, что серия примерно из 20 таких сообщений делала устройство практически непригодным к работе и могла приводить к циклическим перезагрузкам.
Проблему воспроизводили на устройствах Google Pixel и Samsung Galaxy. Это важная, но ограниченная деталь: она не означает, что уязвимы абсолютно все смартфоны Android, включая каждую модель на Android 12–17. Наличие риска зависит от версии системного компонента и от того, получил ли аппарат исправление в обновлении своего бренда.
Почему это важно
Для большинства уязвимостей пользователи мысленно ищут признаки фишинга: странную ссылку, неизвестное приложение, просьбу ввести код. Здесь такой сценарий не работает. WAP Push может быть невидимым в обычном интерфейсе SMS, а для срабатывания описанной ошибки не требуется открыть сообщение или нажать на ссылку.
Это атака типа отказа в обслуживании, или DoS. В доступных публикациях нет оснований считать её способом установки шпионского ПО, хищения данных или полного захвата телефона. Но отказ телефонной связи сам по себе критичен: смартфон может не принимать и не совершать звонки именно тогда, когда связь нужна больше всего.
Отдельный риск — старые устройства, для которых производитель уже перестал выпускать патчи. Даже если исходный код Android был исправлен, обновление должно пройти адаптацию и распространение у конкретного производителя. Смартфон без актуальной поддержки может так и не получить нужную версию компонента.
Что проверить в обновлениях
Начните с системного обновления. На разных оболочках названия пунктов отличаются, но рабочий маршрут обычно выглядит так: Настройки → О телефоне / Сведения о телефоне → Версия Android → Обновление системы. На Samsung проверка часто находится в разделе Настройки → Обновление ПО; у Xiaomi и других производителей путь может быть вынесен в пункт «Об устройстве» или «Обновление системы».
- Установите все доступные системные обновления и перезагрузите смартфон, если система попросит.
- После установки снова откройте сведения о версии Android и посмотрите дату «Уровня обновления безопасности Android».
- Проверьте также обновления Google Play system update, если такой пункт доступен в настройках безопасности или версии Android.
- Не откладывайте патч «на выходные»: в этой истории обновление полезнее большинства советов из интернета.
В октябрьском бюллетене безопасности AOSP указано, что уровень патча 2026-10-01 или новее закрывает все проблемы, перечисленные именно в этом бюллетене. При этом с привязкой CVE-2026-58882 к публичному октябрьскому либо ноябрьскому распространению остаётся неоднозначность. Android Authority отмечает, что исходное исправление существовало раньше раскрытия, а сведения о сроках его включения в бюллетени и обновления производителей расходятся. Поэтому нельзя обещать защиту от этой конкретной ошибки только по одной дате патча: ставьте последнее доступное обновление и следите за сообщениями производителя для своей модели.
Что пока неизвестно
Публично подтверждено, что Google подготовила исправление до раскрытия проблемы, а исследователь демонстрировал эффект на Pixel и Galaxy. Но единого открытого списка всех уязвимых моделей, операторов и прошивок пока нет. Также не следует делать вывод, что любой аппарат на Android 12, 13, 14, 15, 16 или 17 обязательно подвержен атаке либо, наоборот, уже защищён.
Неясность касается и графика: партнёры Android могут получать исправления до того, как CVE подробно появится в публичном бюллетене, а затем выпускать обновления в разное время. У Pixel, Samsung, Xiaomi и других брендов даты поставки патчей не обязаны совпадать.
Если звонки уже срываются или телефон перезагружается
Не начинайте со сброса до заводских настроек как с универсального лекарства. В публикациях об этой ошибке отмечается, что повторная доставка проблемного сообщения через сеть может вернуть сбой и после очистки устройства. Сначала зафиксируйте симптомы: время обрыва, номер версии системы, дату патча, наличие перезагрузок и название оператора.
- Если телефон позволяет, немедленно установите все системные обновления по Wi‑Fi.
- Свяжитесь с оператором с другого устройства и сообщите о регулярных сбоях звонков или перезагрузках; попросите проверить линию и доставку сообщений.
- Обратитесь в официальную поддержку производителя, указав модель, версию Android и уровень патча безопасности.
- Для экстренной связи используйте другой исправно работающий телефон, а не рассчитывайте на нестабильный аппарат.
Не пытайтесь самостоятельно искать, создавать или пересылать служебные WAP Push-сообщения. Это не диагностика, а потенциально опасное вмешательство в работу связи.
FAQ
Можно ли увидеть опасное сообщение в приложении SMS?
Не обязательно. Особенность WAP Push в том, что служебное сообщение может обрабатываться системой отдельно от обычного списка переписки и не отображаться пользователю.
Нужно ли открыть сообщение, чтобы возник сбой?
Нет. Описанный сценарий связан с автоматической обработкой сообщения системой, а не с переходом по ссылке или установкой приложения.
Защитит ли меня Android 17?
Сам номер версии не даёт гарантии. Проверьте наличие обновления и установленный уровень патча безопасности именно на своём смартфоне.
Поможет ли сброс к заводским настройкам?
Он не считается надёжным универсальным решением: если проблемное сообщение снова доставляется оператором, сбой может повториться. Лучше начать с обновления, связи с оператором и поддержкой производителя.