Критическую уязвимость CVE-2026-58882, известную как SMS of Death («СМС смерти»), Google включила в бюллетень безопасности Android за ноябрь, опубликованный 2 ноября. Ошибка находится в системном компоненте и отнесена к типу «отказ в обслуживании». Исправление входит в уровень патча 2026-11-01 и выпущено для Android 14, 15, 16 и 17.

Проблему нашёл исследователь Марк Блащик. Атаке не нужны действия владельца: на телефон отправляют восьмибайтовое служебное WAP Push-сообщение, функция WapPushOverSms.decodeWapPdu неверно проверяет длину заголовка, получает отрицательное число и пытается выделить под него память. В итоге падает процесс com.android.phone, который отвечает за мобильную связь, и текущий звонок обрывается, в том числе вызов экстренных служб. Сообщение до папки «Входящие» не доходит, так что владелец не видит, что произошло.

Хуже всего повторные атаки. По данным исследователя, около 20 таких сообщений загоняют телефон в цикл перезагрузок: один аппарат на Android 12 уходил в режим восстановления примерно каждые 90 секунд, и помог только сброс к заводским настройкам. Атаку воспроизвели на Google Pixel и Samsung Galaxy. 29 октября Блащик опубликовал рабочий пример эксплойта, который отправляет вредоносные сообщения с другого Android-смартфона.

Исправление Google перехватывает ошибку и удаляет вредоносные сообщения из базы СМС, чтобы они не роняли телефон снова. Уязвимый код появился в Android 12, но Android 12 и 13 в списке исправленных версий бюллетеня нет. Владельцам остальных устройств стоит проверить в настройках уровень патча: защищены аппараты с обновлением от 1 ноября 2026 года и новее, а сроки выхода прошивок зависят от производителя.