«SMS of Death» для Android: что известно об уязвимости в Android 12 и 13

Что произошло

По сообщению 3DNews, опубликован материал о новом эксплойте для Android, который в публикации называют «SMS of Death» («СМС смерти»). Утверждается, что специально сформированное SMS потенциально позволяет удалённо нарушить работу смартфона или полностью вывести его из строя.

Ключевая деталь — класс атаки zero click: по описанию источника, воздействие происходит после поступления сообщения, даже если пользователь его не открывал. Это принципиально отличает сценарий от случаев, когда для срабатывания нужно перейти по ссылке или открыть вложение.

Важно сразу обозначить границу достоверности: в переданном материале нет ни идентификатора CVE, ни имени исследователя или организации, обнаружившей проблему, ни ссылки на технический отчёт или демонстрацию. Поэтому описание ниже — это пересказ того, что заявлено в публикации, а не подтверждённая техническая картина.

Дата события и дата источника

В переданных данных нет явной даты публикации материала 3DNews и нет даты обнаружения или раскрытия уязвимости. URL содержит сегмент, похожий на дату (2026/11/01), но это адрес иллюстрации, а не подтверждённая дата статьи, и опираться на него как на дату события нельзя.

Что это значит практически: невозможно установить, идёт ли речь о свежем раскрытии, о докладе на конференции, о публикации исследователя или о пересказе более раннего отчёта. Без даты нельзя оценить и актуальность статуса исправления.

Затронутые продукты и версии

По данным источника, в зоне риска находятся смартфоны под управлением старых версий Android — названы Android 12 и Android 13.

Что остаётся неясным:

• затрагивает ли проблема только эти версии или также более новые;

• зависит ли уязвимость от приложения для SMS (стандартное приложение Google Messages, приложение производителя, сторонние клиенты);

• имеет ли значение поддержка RCS или речь только о классических SMS;

• есть ли привязка к конкретным производителям и моделям устройств.

Пока эти пункты не подтверждены, нельзя составлять точный список уязвимых конфигураций. Формулировка «Android 12 и 13» — это то, что заявлено в источнике, а не проверенный перечень.

Наличие исправления и официальные рекомендации

В заголовке исходной публикации говорится, что в старых версиях уязвимость не исправили. Это утверждение требует отдельной проверки: из переданных материалов не следует, был ли патч выпущен для каких-либо версий, вошёл ли он в ежемесячные обновления безопасности Android и направлен ли он производителям устройств.

Поэтому статус исправления на момент подготовки текста следует считать неизвестным. Нельзя утверждать ни того, что уязвимость закрыта, ни того, что она гарантированно остаётся открытой во всех сборках.

Официальных рекомендаций Google или производителей устройств в переданных данных нет. Любые советы ниже — это общие меры гигиены, а не официальная инструкция по устранению конкретной уязвимости.

Практическое значение

Если описанный сценарий подтвердится, он относится к наиболее неудобному классу проблем: атака не требует действий пользователя. Для человека это означает, что привычные правила «не открывай подозрительные ссылки» здесь не работают.

Однако масштаб риска напрямую зависит от невыясненных деталей. Если уязвимость требует специфических условий (определённая версия, конкретное приложение, особый формат сообщения), практическая распространённость атаки может быть ограниченной. Без технического отчёта оценить сложность эксплуатации и вероятность случайного столкновения с ней нельзя.

Отдельно стоит учитывать, что устройства на Android 12 и 13 во многих случаях уже не получают регулярных обновлений безопасности — это общая особенность экосистемы Android, а не вывод из данного конкретного случая.

Что делать пользователю

До появления официальных разъяснений разумны осторожные шаги, которые не вредят в любом случае:

1. Проверьте версию Android в настройках устройства и уровень патча безопасности. 2. Установите доступные обновления системы — если производитель их выпустил. 3. Проверьте, какие приложения имеют разрешение на обработку SMS, и уберите лишние. 4. Не устанавливайте сторонние SMS-клиенты из непроверенных источников. 5. Следите за сообщениями Google и производителя вашего устройства: официальные рекомендации должны появиться именно там.

Чего делать не стоит: опираться на непроверенные «инструкции по исправлению» из соцсетей и устанавливать сомнительные приложения, которые обещают защиту от конкретной атаки.

Что остаётся неизвестным

Список открытых вопросов существеннее списка подтверждённых фактов:

• есть ли CVE и технический отчёт;

• кто обнаружил проблему и как она раскрыта;

• какие именно версии Android затронуты и затронуты ли новые;

• выпущен ли патч и в какие сборки он вошёл;

• требуется ли взаимодействие с конкретным приложением сообщений;

• насколько сложна эксплуатация и есть ли подтверждённые случаи атак.

До получения ответов на эти вопросы материал следует воспринимать как сообщение о заявленной проблеме, а не как подтверждённый инцидент с известным статусом исправления.