Jediná SMS může vyřadit telefon s Androidem. Nebezpečná chyba nevyžaduje ani otevření zprávy

Bezpečnostní výzkumník zveřejnil podrobnosti o zranitelnosti Androidu, která dostala výstižnou přezdívku „SMS of Death“, tedy smrtící SMS. Nepříjemné je především to, že k útoku není potřeba zprávu otevřít. Telefon ji zpracuje automaticky, aniž bychom o tom věděli.

Když mluvíme o nebezpečných SMS, většinou si představíme podvodné zprávy s odkazy na falešné stránky. Jejich prostřednictvím se nás útočníci snaží přimět k zadání přihlašovacích údajů nebo instalaci škodlivé aplikace. Tentokrát je ale situace jiná. Útočník nepotřebuje, abychom na cokoliv klikali. Dokonce ani nemusíme vědět, že nám nějaká zpráva přišla.

Chyba, která umožňuje na dálku narušit fungování mobilních telefonů s Androidem, byla katalogizována pod označením CVE-2026-58882. Patří mezi takzvané útoky typu zero-click. To znamená, že nevyžaduje žádnou aktivní spolupráci napadeného uživatele.

SMS se ani nemusí objevit ve zprávách. Přesto dokáže způsobit problémy

Zranitelnost se nachází v části Androidu, která zpracovává speciální datové zprávy, označované jako WAP Push. Ty se od běžných textových SMS liší a systém je zpracovává na pozadí – a to ještě předtím, než se případně dostanou do aplikace pro zprávy. Právě tohoto mechanismu mohou útočníci zneužít.

Pokud telefon obdrží speciálně vytvořenou zprávu s chybnými údaji, může při jejím zpracování dojít k pádu systémového procesu com.android.phone. Ten zajišťuje důležité funkce související s mobilní komunikací. Výsledkem může být výpadek mobilního připojení nebo okamžité přerušení probíhajícího hovoru.

Podle zveřejněné analýzy se problém může projevit také při volání na tísňové linky. To už představuje mnohem závažnější riziko než pouhé dočasné zamrznutí telefonu. Z našeho pohledu je znepokojivé zejména to, že napadený uživatel nemusí vidět žádnou podezřelou SMS. Zpráva totiž může způsobit problém ještě předtím, než se objeví v doručené poště.

Některé telefony se mohou dostat do nekonečné smyčky restartů

Výzkumník při testování zjistil, že útok nemusí skončit pouze krátkodobým výpadkem mobilního signálu. Pokud operátor škodlivou zprávu doručuje opakovaně nebo ji systém znovu zpracovává, může docházet k dalším pádům. V jednom z experimentů vedlo odeslání dvaceti speciálně upravených zpráv k tomu, že se testovaný telefon začal opakovaně restartovat.

Na zařízení s Androidem 12 se podle výzkumníka systém přibližně každých 90 sekund vracel do režimu obnovení. Telefon se nakonec podařilo zprovoznit až po přechodu do továrního nastavení. A pokud nemáme vytvořenou aktuální zálohu, může takový zásah znamenat ztrátu dat.

Existuje také pokročilejší možnost odstranění problematických zpráv pomocí nástroje Android Debug Bridge (ADB). Ta ale vyžaduje počítač, odpovídající přístup k zařízení a zkušenosti s technickou správou Androidu. Pro běžného uživatele proto nejde o jednoduché řešení.

Google chybu opravil. Starší Androidy ale mohou zůstat bez ochrany

Podle informací bezpečnostního výzkumníka Google chybu již oficiálně potvrdil a připravil opravu, která měla být součástí říjnových bezpečnostních aktualizací Androidu. Některé říjnové sestavy již mohly opravu obsahovat, ale samotné říjnové datum bezpečnostní záplaty není dostatečnou zárukou. Proto nevynechejte ani listopadové bezpečnostní aktualizace.

Oprava se podle jeho zjištění týká Androidu ve verzích 14 až 17. Jejím cílem je zabránit tomu, aby chybně vytvořená zpráva způsobila pád důležitého systémového procesu. Součástí řešení má být také odstranění problematických zpráv, které by jinak mohly vyvolávat opakované pády.

Situace je však méně příznivá pro majitele starších zařízení – Android 12 a 13 zůstávají bez této konkrétní opravy. To ovšem automaticky neznamená, že je zranitelný každý telefon s těmito verzemi. Skutečný dopad může záviset také na úpravách systému provedených výrobcem zařízení.

Jak zjistit, zda je váš smartphone chráněný?

Nejdůležitějším ochranným opatřením je proto instalace dostupných bezpečnostních aktualizací. Ve většině telefonů s Androidem postupujeme následovně:

1. Otevřeme Nastavení.
2. Přejdeme do části Systém / Aktualizace softwaru, případně do odpovídající nabídky výrobce.
3. Vyhledáme dostupné aktualizace.
4. Pokud je k dispozici novější bezpečnostní aktualizace, nainstalujeme ji.
5. V případě potřeby telefon restartujeme.

Přesné názvy položek se mohou lišit podle značky a verze Androidu. U telefonů Samsung Galaxy například najdeme kontrolu aktualizací zpravidla v části Nastavení / Aktualizace softwaru / Stáhnout a instalovat.

Je ale důležité rozlišovat mezi samotnou dostupností bezpečnostní aktualizace a potvrzením, že obsahuje právě opravu CVE-2026-58882. To by měl uvádět výrobce zařízení nebo příslušná bezpečnostní dokumentace. Pokud používáme starší telefon, který už bezpečnostní aktualizace nedostává, je to další důvod začít uvažovat o jeho výměně.

V případě této zranitelnosti totiž nepomůže ani obvyklá rada, abychom neotevírali podezřelé zprávy a neklikali na neznámé odkazy. Útok může proběhnout zcela bez našeho přičinění. A právě proto jsou pravidelné bezpečnostní aktualizace Androidu tak důležité.

Zdroj: BleepingComputer, OpenCVE, CyberStack