Android「SMS of Death」のPoC公開、14〜17は修正済み
研究者のMark Blah氏がCVE-2026-58882の実証コードを公開。8バイトの細工したWAP Pushメッセージで通話が切断される。
セキュリティ研究者のMark Blah氏が、Androidの脆弱性CVE-2026-58882の実証コード（PoC）を公開した。同氏が公開した技術分析とPoCを、bleepingcomputer.comが伝えている。この脆弱性は「SMS of Death」と呼ばれている。
細工した8バイトのWAP PushメッセージをデータSMSとしてポート2948に送信すると、クリック不要でサービス妨害が発生する。com.android.phoneプロセスがクラッシュし、モバイル接続が妨げられ、緊急通報を含む進行中の通話が切断される。
原因は、AndroidのWapPushOverSms.decodeWapPdu関数におけるヘッダー長の値の検証不備にある。悪意あるメッセージを20通送信すると端末が再起動ループに陥ることがあり、Android 12を搭載した端末は約90秒ごとにリカバリーモードへ再起動したという。
Googleは「Fix remote DoS in decodeWapPdu」と題した修正で例外を捕捉し、SMSデータベースから悪意あるメッセージを削除するようにした。この修正はAndroid 14から17向けの2026年10月のAndroidセキュリティアップデートに含まれているが、Googleの10月のセキュリティ速報には記載されていない。
Android 12および13の端末は修正を受け取っておらず、脆弱なままとなっている。GitHubのコントリビューターであるSakis氏は、Android Debug Bridge（ADB）を使って悪意あるメッセージを削除する方法を見つけた。
よくある質問
CVE-2026-58882はどのAndroidバージョンで修正されていますか？
Android 14から17向けの2026年10月のAndroidセキュリティアップデートで修正されています。Android 12および13の端末は修正を受け取っておらず、脆弱なままです。
SMS of Deathはどのようにして端末に影響しますか？
細工した8バイトのWAP Pushメッセージをポート2948にデータSMSとして送信すると、com.android.phoneプロセスがクラッシュし、通話が切断されます。20通送信すると再起動ループに陥ることがあります。