Jeden SMS może zawiesić telefon z Androidem, a Android 12 i 13 nie dostaną poprawki

Badacz opublikował działający kod ataku wykorzystującego lukę w Androidzie. Każdy, kto zna twój numer, może za jego pomocą zawiesić telefon, wysyłając jedną wiadomość tekstową. Nazywany „SMS-em śmierci” komunikat nie pojawia się w skrzynce odbiorczej i nie wymaga żadnego działania z twojej strony. Wyłącza część Androida odpowiedzialną za połączenia i sygnał sieci komórkowej, przerywając trwającą rozmowę — także tę z numerem alarmowym. Google naprawił problem w aktualnych wersjach Androida, ale starsze telefony, które nie otrzymują już aktualizacji zabezpieczeń, pozostaną narażone.

Dla większości użytkowników odpowiedź na najważniejsze pytanie jest prosta: czy telefon ma zainstalowaną najnowszą aktualizację zabezpieczeń? Luka tkwi w podstawowym kodzie Androida obsługującym telefonię, który wykorzystują wszyscy producenci, więc problem nie dotyczy jednej marki. Badacz publikujący pod pseudonimem Mark B twierdzi, że awaria występowała za każdym razem na telefonie Google Pixel oraz kilku modelach Samsung Galaxy, w tym tańszych urządzeniach z serii A, które nie otrzymały jeszcze poprawki.

Atak wykorzystuje WAP Push — stary format wiadomości, którego operatorzy używają do przesyłania telefonom ustawień w tle. Błędnie skonstruowany komunikat sprawia, że Android próbuje zarezerwować ujemną ilość pamięci, przez co zawiesza się proces obsługujący połączenia i sygnał. Każda wiadomość pozbawia ofiarę zasięgu na sekundę lub dwie. Poważne skutki przynosi jednak dopiero powtarzanie ataku. Operatorzy ponownie wysyłają wiadomości, których telefon nie potwierdził, a w testach badacza pojedynczy komunikat powodował naprzemienne przerwy w działaniu sieci nawet przez tydzień. Około 20 wiadomości wystarczyło, by telefon stał się bezużyteczny.

Zainfekowane wiadomości pozostają też w kolejce i są przetwarzane ponownie przy każdym uruchomieniu telefonu. Jeden z testowanych telefonów z Androidem 12 co mniej więcej 90 sekund uruchamiał się ponownie w trybie odzyskiwania systemu. Zwykły użytkownik mógłby przerwać tę pętlę jedynie przez przywrócenie ustawień fabrycznych, co wymazuje zawartość urządzenia. Współtwórca projektu posługujący się pseudonimem Sakis znalazł sposób na usunięcie samych wadliwych wiadomości, wymaga on jednak komputera, narzędzi deweloperskich Androida i szybkiego działania w krótkim czasie po każdym ponownym uruchomieniu.

Badacz, który opisuje problem w kontekście australijskiego numeru alarmowego Triple Zero, zwraca uwagę na nietypowy skutek uboczny. Australijskie przepisy zobowiązują operatorów do wykrywania telefonów, które nie mogą połączyć się ze służbami ratunkowymi, i ostatecznego odłączania ich od sieci. Telstra informuje, że blokuje takie urządzenia, jeśli w ciągu 28 dni nic się nie zmieni. Zdaniem badacza napastnik, który potrafi na żądanie uniemożliwić telefonowi wykonywanie połączeń alarmowych, mógłby doprowadzić do zablokowania w sieci telefonu samej ofiary.

Nie ma jednak powodu do przesadnego alarmu. To atak typu denial of service, a nie włamanie: wiadomość nie może odczytać twoich danych, niczego zainstalować ani przejąć kontroli nad telefonem. Napastnik musi znać twój numer i mieć możliwość wysyłania surowych wiadomości z danymi. Opublikowane narzędzie wysyła je z innego telefonu z Androidem i kartą SIM, co pozostawia ślad u operatora. Jak dotąd nie ma publicznych doniesień o wykorzystaniu luki przeciwko prawdziwym osobom. Jak zauważył BleepingComputer, październikowy biuletyn bezpieczeństwa Google również nie wymienia tej poprawki, więc właściciele starszych telefonów nie otrzymali oficjalnego ostrzeżenia, że są narażeni.

Aby to sprawdzić, otwórz Ustawienia, przejdź do sekcji Informacje o telefonie lub Zabezpieczenia i sprawdź datę aktualizacji zabezpieczeń Androida. Każda aktualizacja z października 2026 roku lub późniejsza zawiera poprawkę. Samsung, Motorola, Xiaomi i inni producenci udostępniają łatki według własnych harmonogramów, a operatorzy mogą opóźniać ich instalację, więc nawet telefon z nowszą wersją Androida może wciąż czekać na aktualizację. W przypadku urządzeń, które utknęły na Androidzie 12 lub 13, jedyną pełną ochronę zapewni przesiadka na telefon, który nadal otrzymuje aktualizacje.

Badacz zgłosił lukę do programu Google Android Vulnerability Reward 5 maja. Inżynier Google przygotował poprawkę w połowie czerwca, a w październikowej aktualizacji zabezpieczeń z 2026 roku trafiła ona do Androida w wersjach od 14 do 17. Publiczny opis problemu i kod weryfikujący jego wykorzystanie ukazały się 29 października. Google nie dodał sprawdzania długości wiadomości, które zaproponował badacz: poprawka wykrywa awarię i usuwa wadliwy komunikat, by nie mógł wywołać jej ponownie.

Starsze telefony z Androidem znalazły się więc w dość osobliwej sytuacji. Nadal można z nich normalnie dzwonić. Nie ma jednak pewności, że uda się dokończyć rozmowę.

Tagi: Google, cyberbezpieczeństwo, Android, Google Pixel, Samsung Galaxy, BleepingComputer