„SMS smrti“ umí na dálku vyřadit telefon s Androidem. Oprava existuje, starší mobily ji ale nejspíš nedostanou

Přidat Svět Androida mezi preferované stránky na Google

ať vám neunikne žádná Android novinka nebo sleva

Telefon vám uprostřed hovoru sám zavěsí, na chvíli ztratí signál a pak se začne dokola restartovat. Přesně takový scénář popisuje bezpečnostní výzkumník Mark Blaszczyk, který zveřejnil zranitelnost Androidu s výmluvnou přezdívkou SMS smrti. Týká se verzí Android 12 až 17 a útočníkovi stačí znát vaše telefonní číslo.

Stačí jedna zpráva, kterou ani neuvidíte

Jak Blaszczyk popisuje na webu věnovaném chybě, jde o útok, při kterém oběť nemusí udělat vůbec nic špatně (na rozdíl třeba od phishingu). Útočník pošle upravenou zprávu typu WAP Push – zastaralý druh SMS, kterým operátoři posílají telefonům skryté pokyny, třeba ke stažení MMS nebo k nastavení sítě. Android při jejím zpracování narazí na chybně ošetřenou hodnotu a systémová služba pro telefonování spadne. Probíhající hovory se okamžitě ukončí, a to včetně těch na tísňové linky. Zpráva se navíc vůbec nezobrazí, takže nevidíte ani číslo odesílatele.

Horší je, co následuje. Telefon se zprávu pokouší zpracovat znovu při každém startu, takže pád se opakuje. Podle výzkumníka stačí zhruba 20 takových zpráv a telefon je prakticky nepoužitelný. Přibližně každých 90 sekund se restartuje do režimu obnovení a nabízí smazání dat. Operátoři nepotvrzené zprávy navíc doručují opakovaně, takže v jeho testech jediná SMS způsobovala výpadky až po dobu týdne. Chybu zopakoval se stoprocentní úspěšností na Pixelu 9 i na řadě telefonů Samsung Galaxy.

Google chybu nejprve odmítl, oprava už ale existuje

Blaszczyk Googlu chybu nahlásil už 5. května. Ten ji údajně opakovaně označil za problém, který se bezpečnosti netýká, a hlášení uzavřel jako „Will Not Fix“. Výzkumník proto 29. října zveřejnil podrobnosti i funkční ukázku útoku. Jak ale upozorňuje německý server Heise Online, inženýři Googlu opravu připravili už 15. června. Podle projektu GrapheneOS ji výrobci dostali v červenci v rámci předběžných bezpečnostních balíčků, a odmítnutí hlášení tak mohlo být interní nedorozumění.

Chyba má označení CVE-2026-58882 s kritickou závažností a objevit se má v listopadovém bezpečnostním bulletinu. Samotná oprava je podle výzkumníka součástí říjnové bezpečnostní aktualizace pro Android 14 až 17 a telefony s úrovní zabezpečení z října 2026 nebo novější jsou podle něj chráněné. Protože ale Google chybu oficiálně zařadí až do listopadového bulletinu, jistotu dá spíš listopadová záplata. Úroveň zabezpečení najdete v nastavení telefonu, obvykle v sekci O telefonu. Kdy záplatu dostanou jednotlivé telefony, záleží na jejich výrobcích.

Hůř jsou na tom majitelé starších zařízení s Androidem 12 a 13, které Google už nepodporuje. Opravu nejspíš nedostanou, pokud ji pro ně výrobce nepřipraví sám.

Jakou úroveň zabezpečení má právě váš telefon?

Zdroje: SMS of Death (Mark Blaszczyk), heise online, Android Authority

Přidat Svět Androida mezi preferované stránky na Google

ať vám neunikne žádná Android novinka nebo sleva