Исследователь безопасности Марк Блах обнаружил уязвимость CVE‑2026‑58882, которую неофициально называют SMS of Death («СМС смерти»). Она позволяет удалённо нарушить работу смартфона на Android и даже полностью вывести его из строя одним специально сформированным SMS, причём открывать сообщение не требуется.
Под угрозой устройства под управлением Android 12 и 13. Google устранила уязвимость в октябрьских обновлениях безопасности 2026 года для версий с 14-й по 17-ю, но старые версии остаются уязвимыми.
Проблема связана с некорректной проверкой длины заголовка в функции WapPushOverSms.decodeWapPdu. При обработке восьмибайтового WAP Push-сообщения система получает отрицательное значение и аварийно завершает процесс com.android.phone, отвечающий за сотовую связь.
Из-за сбоя прерываются текущие звонки, в том числе вызовы в экстренные службы. Атака может повторяться, когда оператор заново доставляет вредоносное сообщение или Android обрабатывает уже сохранённые в памяти сообщения; удалить их вручную можно через Android Debug Bridge (ADB), но это под силу только технически подготовленным пользователям.
Блах опубликовал концепт эксплойта, позволяющий отправлять такие сообщения с другого устройства на Android. Пользователям Android-устройств рекомендуется установить последние обновления безопасности.