安卓"死亡短信"漏洞概念验证代码公开
研究人员马克·布拉公开了CVE-2026-58882的概念验证利用代码，该漏洞可致手机断网，谷歌已在10月更新中修复。
安全研究人员马克·布拉（Mark Blah）公开发布了安卓系统漏洞CVE-2026-58882的概念验证利用代码，该漏洞被命名为"死亡短信"（SMS of Death）。据bleepingcomputer.com报道，布拉同时公布了相关技术分析。
该漏洞属于零点击拒绝服务问题：一条畸形的8字节WAP推送消息以数据短信形式发送至2948端口，即可触发攻击。漏洞根源在于安卓WapPushOverSms.decodeWapPdu函数未能正确校验header长度值。攻击会令com.android.phone进程崩溃，造成移动网络连接中断，并切断正在进行的通话，其中包括紧急通话。
布拉的测试显示，连续发送20条恶意消息可使手机陷入重启循环；一台运行Android 12的设备大约每90秒就会重启进入恢复模式。谷歌的修复方案名为"Fix remote DoS in decodeWapPdu"，通过捕获异常并从短信数据库中删除恶意消息来阻断攻击。
据bleepingcomputer.com报道，该漏洞已在2026年10月的安卓安全更新中针对Android 14至Android 17完成修复，但并未列入谷歌10月的安全公告。Android 12和Android 13设备未收到该修复，仍处于受影响状态。
GitHub贡献者Sakis找到了一种通过Android调试桥（ADB）删除恶意消息的方法，为受影响设备提供了一条临时处理途径。
快速问答
什么是安卓"死亡短信"漏洞CVE-2026-58882？
这是一个零点击拒绝服务漏洞，一条畸形的8字节WAP推送消息发送至2948端口即可令com.android.phone进程崩溃，导致网络中断并切断通话。
哪些安卓版本已经修复？
该漏洞已在2026年10月的安卓安全更新中针对Android 14至Android 17修复，但未列入谷歌10月安全公告；Android 12和13设备仍未修复。
受影响设备如何清除恶意短信？
GitHub贡献者Sakis提供了一种通过Android调试桥（ADB）删除恶意消息的方法。