Twój telefon może paść od niewidzialnego SMS-a. Nawet nie zdążysz go przeczytać

Google ujawniło informację o kolejnych lukach w Androidzie, które stanowią poważne zagrożenie dla bezpieczeństwa użytkowników. Na liście jest 216 podatności, w tym 23 sklasyfikowane jako krytyczne.

Jedna z luk pozwala na zdalne wykonanie kodu bez jakiejkolwiek interakcji użytkownika. Problem dotyczy Androida w wersjach od 14 do 17. Poprawki są już udostępniane producentom urządzeń.

Krytyczna podatność CVE-2026-58868

Luka CVE-2026-58868 została sklasyfikowana jako krytyczna i może umożliwić zdalne uruchomienie złośliwego kodu. Polega na przepełnieniu bufora na stercie, prowadzącego do zapisu poza dozwolonym obszarem pamięci w funkcji onOutputReceived pliku FrameDecoder.cpp.

Google ujawniło informację o kolejnych lukach w Androidzie, które stanowią poważne zagrożenie dla bezpieczeństwa użytkowników. Na liście jest 216 podatności, w tym 23 sklasyfikowane jako krytyczne.

Google nie wyjaśnia, w jaki sposób atakujący mógłby dotrzeć do podatnego fragmentu kodu. Założono również wyłączenie lub obejście części zabezpieczeń Androida i usług Google. Starsze edycje systemu, w tym Android 12 i 13 teoretycznie nie są podane, aczkolwiek nie ma pewności, czy tak faktycznie jest.

Nie ma informacji, by na dzień dzisiejszy przytoczone podatności były wykorzystywane przez cyberprzestępców. Nie znajdowały się one również w katalogu KEV amerykańskiej agencji CISA według aktualizacji z 3 listopada.

Jak sprawdzić, czy smartfon jest bezpieczny?

Poprawka dla CVE-2026-58868 jest dostępna w pakiecie zabezpieczeń Androida. Update z 1 listopada 2026 roku obejmuje poprawki Framework, System i środowiska uruchomieniowego Androida. Kolejna aktualizacja, która powinna być udostępniana dziś lub jutro usuwa wszystkie podatności, również te dotyczące jądra systemu oraz komponentów Arm, Imagination Technologies, MediaTek, Unisoc i Qualcomm.

Część poprawek trafia też przez aktualizacje systemowe Google Play na urządzeniach z Androidem 10 lub nowszym. Dotyczy to między innymi CVE-2026-58876, ale nie CVE-2026-58868.

Niebezpieczny SMS może przerwać rozmowę

Kolejnym zagrożeniem jest CVE-2026-58882, pozwalająca na zdalny atak bez udziału użytkownika. Luka dotyczy funkcji decodeWapPdu obsługującej wiadomości WAP Push przesyłane przez SMS.

Jak podaje badacz Mark B, specjalnie przygotowana wiadomość powoduje awarię procesu com.android.phone, przerywając również aktywne połączenia alarmowe. Atakujący potrzebuje jedynie numeru telefonu, natomiast sama wiadomość nie pojawia się w skrzynce odbiorczej. Ponawianie jej przetwarzania może wywoływać kolejne awarie podczas uruchamiania urządzenia.

Opublikowano już aplikację demonstracyjną. Badacz twierdzi, że Android 12 i 13 również zawierają podatny kod, ale nie otrzymają na razie poprawki. Nie potwierdzono jednak oficjalnie, czy CVE-2026-58882 dotyczy dokładnie opisanego przez niego błędu.

Jeżeli posiadamy smartfon z Androidem powinniśmy natychmiast zainstalować najnowsze poprawki, o ile są dostępne. Zagrożenie może być poważne, dlatego warto sprawdzać dostępność poprawek.