Изследовател по сигурността публикува подробности за zero-click уязвимост в Android, наречена „SMS of Death“. Едно специално форматирано текстово съобщение може да срине телефонната услуга на устройство с Android, да прекъсне активни повиквания, а в най-лошия случай да остави телефона без мобилна връзка след всяко рестартиране. Според сайта с разкритието на изследователя, Google е маркирала доклада със статус „Won’t Fix“ и го третира като проблем, който не е свързан със сигурността.

Грешката се намира в WapPushOverSms.decodeWapPdu() – кодът на Android, който разчита WAP Push съобщения. Това са специални служебни съобщения за данни, които никога не се появяват във входящата поща. Кодът прочита дължината на заглавната част от съобщението като голямо число и след това я преобразува в по-малко цяло число със знак, без да проверява допустимия диапазон.

Изследователят показва, че петте байта 88 80 80 80 00 се превръщат в -2147483648 след това преобразуване. След това Android се опитва да създаде байтов масив с такъв размер.

Това предизвиква неприхванато изключение NegativeArraySizeException и прекратява процеса com.android.phone. Жертвата не вижда нищо. Не се появява никакво съобщение, а номерът на подателя остава скрит.

Zero-Click ‘SMS of Death’ Flaw

Активните повиквания се прекъсват с причина CS_DEATH при рестартирането на процеса. Всяко съобщение причинява между една и две секунди липса на услуга. Мобилният оператор също така изпраща повторно съобщения, които телефонът никога не потвърждава, поради което при тестовете едно съобщение е довело до повтарящи се прекъсвания в продължение на до една седмица.

Около 20 съобщения са оставили телефона неизползваем за дълго време. Изследователят е тествал Pixel 9 с фърмуер от април 2026 г., както и няколко телефона Samsung Galaxy и от серията A, като сривът е настъпвал всеки път.

Android вече е изложен на други zero-click рискове от фалшиви базови станции. Android 17 на Google добавя защита срещу принудително понижаване до 2G и трикове със SMS бластери. Тези защити обаче са насочени към различен проблем и не изглежда да покриват тази грешка при синтактичния анализ.

Изпращането на около 30 съобщения в бърза последователност има далеч по-тежки последици. Повтарящите се сривове влизат в конфликт със записите в хранилището за SMS и повреждат базата данни SQLite, съхраняваща съобщенията. След това телефонното приложение се срива при всяко зареждане на системата, а рестартирането не помага.

Връщането към фабрични настройки действа само за кратко, тъй като операторът изпраща блокирания злонамерен код отново. Решението на изследователя е било да премести физическата SIM карта в устройство, различно от Android (например iPhone), за да може повторните опити на оператора да бъдат потвърдени. След това повредените записи е трябвало да бъдат изчистени през ADB. Използването на eSIM би направило възстановяването много по-трудно, а за повечето потребители – практически невъзможно.

Zero-click атаките срещу телефони не са новост. През 2023 г. Citizen Lab откри BLASTPASS – верига от zero-click уязвимости в iPhone, използвана за инсталиране на шпионския софтуер Pegasus.