Исследователь нашёл способ уронить любой телефон на Android парой десятков невидимых сообщений — патч вышел, но старые версии остались за бортом.
Марк Блащик, исследователь безопасности, ещё в мае нашёл способ превратить любой современный телефон на Android в кирпич. Причём без единого действия со стороны владельца. Достаточно отправить на устройство специально сформированное SMS — и система начнёт задыхаться, пытаясь его обработать. Это не шутка и не теория: работающий эксплойт уже выложен на GitHub, а патч вышел только 15 июня.
Схема простая и потому неприятная. Сообщение — служебное WAP Push, которое Android обрабатывает автоматически, без участия человека. Оно не появится во входящих, вы не увидите ни уведомления, ни номера отправителя. Внутри — всего восемь байт. Пять из них обозначают длину заголовка, и там стоит число 2 147 483 648. Android конвертирует его в 32-битное целое, не проверяя диапазон, — и число превращается в минус 2 147 483 648. Отрицательная длина заголовка не имеет смысла, система падает с фатальной ошибкой, процесс com.android.phone умирает, и все звонки, включая экстренные, обрываются.
Что происходит с телефоном на Android дальше
Дальше — самое интересное. Процесс перезапускается через секунду-другую, но оператор, не получив подтверждения доставки, отправляет сообщение снова. И снова. Пара десятков таких SMS — и устройство уходит в бесконечный цикл перезагрузок. Сброс до заводских настроек не гарантирует избавления: сообщения могут прийти повторно. Для восстановления без потери данных нужен компьютер с Android Debug Bridge, что для обычного пользователя звучит как инструкция по сборке ядерного реактора.
Блащик воспроизвёл атаку на Google Pixel и Samsung Galaxy с Android от 12 до 16. Google сообщили об ошибке 5 мая 2026 года, но компания, по словам исследователя, несколько раз отнесла отчёт к не связанным с безопасностью проблемам. Патч при этом уже существовал: записи разработчиков указывают, что исправление создали 15 июня. Оно обрабатывает ошибку и удаляет проблемное сообщение, не давая ему вызывать новые сбои.
Кому повезло, а кому не очень
По данным Блащика, в октябрьские обновления для Android 14–17 патч уже включён. GrapheneOS говорит, что исправление войдёт в ноябрьский бюллетень безопасности, а через предварительные обновления Google передала его ещё в июле. Уязвимость отслеживается под идентификатором CVE-2026-58882 и имеет критический уровень опасности.
Проблема в том, что Android 12 и 13 уже лишились обновлений безопасности. Их владельцы остаются уязвимыми, и это тот случай, когда «у меня старый телефон, но мне хватает» перестаёт быть безобидной позицией. Производители могут получать патчи раньше публикации в бюллетене, но как они доходят до конкретных устройств — вопрос открытый. Владельцам телефонов на Android стоит проверить уровень патча безопасности и установить последнее доступное обновление. Если устройство не получает обновлений — это повод задуматься о смене аппарата, а не о том, что «как-нибудь обойдётся».
Наша редакция считает эту историю почти комичной. Восемь байт, минус в заголовке и телефон, который уходит в перезагрузку от чужой SMS. При этом Google знала о проблеме с мая, а патч вышел в июне. Хорошая новость в том, что дыру закрыли. Плохая — что не для всех. Так что если у вас на полке лежит старый аппарат на Android 12, отправьте ему последнее обновление. Или хотя бы не удивляйтесь, когда он внезапно решит перезагрузиться.