Predstavte si, že vám niekto pošle SMS a telefón zrazu stratí signál. Prebiehajúci hovor sa preruší, zariadenie začne vykazovať problémy a v najhoršom prípade sa už ani nedokáže normálne zapnúť. Vy ste pritom neurobili vôbec nič. Neotvorili ste podozrivý odkaz, nenainštalovali aplikáciu a dokonca ste ani nevideli, že vám nejaká správa prišla. Presne takéto následky môže mať bezpečnostná chyba, ktorú odhalili v Androide.
Zraniteľnosť dostala označenie CVE-2026-58882 a prezývku SMS of Death, teda SMS-ka smrti. Bezpečnostný výskumník zverejnil jej technickú analýzu len nedávno, konkrétne 29. októbra. Google problém medzičasom potvrdil a v novembrovom bezpečnostnom bulletine ho zaradil medzi kritické chyby. Útočníkovi pritom stačí poznať telefónne číslo obete.
Správa sa v telefóne vôbec neobjaví
Na rozdiel od bežných SMS podvodov tento útok nevyžaduje žiadnu spoluprácu používateľa. Využíva špeciálny typ dátovej správy WAP Push, ktorú Android spracúva automaticky na pozadí. Ak obsahuje úmyselne poškodené údaje, môže vyvolať pád systémového procesu zabezpečujúceho telefonovanie. Škodlivá SMS sa pritom vôbec nemusí zobraziť v aplikácii Správy. Dôsledkom môže byť krátkodobý výpadok mobilnej siete alebo okamžité prerušenie hovoru. Výskumník potvrdil, že problém sa týka aj volaní na tiesňové linky. Ak by niekto chybu zneužil v nesprávnej chvíli, napadnutý telefón by tak mohol stratiť spojenie práve vtedy, keď ho jeho majiteľ potrebuje najviac.
Jedna škodlivá správa spravidla spôsobí len krátky výpadok, situácia sa však môže výrazne zhoršiť, ak operátor správu opakovane doručuje alebo sa ju Android pokúša znovu spracovať. Pri testovaní sa totiž ukázalo, že približne 20 takýchto SMS dokáže telefón vyradiť na dlhší čas. Zariadenie sa začne opakovane reštartovať a jeho majiteľ sa nemusí dostať ani na domovskú obrazovku.
Na jednom telefóne s Androidom 12 sa systém približne každých 90 sekúnd vracal do režimu obnovenia. Problém sa podarilo vyriešiť aj odstránením škodlivých správ pomocou počítača a nástroja ADB, čo však vyžaduje technické znalosti. Pre bežného používateľa môže byť takýto stav mimoriadne nepríjemný, pretože obnovenie továrenských nastavení môže znamenať stratu nezálohovaných údajov.
Google už chybu opravil. Nie však pre každého
Dobrou správou je, že oprava už existuje. Google ju oficiálne zaradil do bezpečnostnej aktualizácie z 1. novembra 2026 pre Android 14 až 17. Niektorí výrobcovia ju však mohli zahrnúť už aj do skorších aktualizácií. Horšie sú na tom majitelia starších zariadení s Androidom 12 a 13. Tieto verzie nie sú zahrnuté v novembrovej oprave Googlu, hoci podľa testov obsahujú rovnakú zraniteľnosť. Konkrétny výrobca síce môže vydať vlastnú opravu, pri telefónoch bez bezpečnostnej podpory však takáto možnosť často chýba. Na riziká používania nepodporovaných Androidov sme upozorňovali už začiatkom roka.
