Otkriven je ozbiljan bezbednosni propust u Androidu koji omogućava da se telefon sruši samo prijemom posebno oblikovane SMS poruke. Korisnik ne mora da otvori poruku, niti da preduzme bilo kakvu drugu radnju da bi se problem aktivirao.
Ranjivost je zavedena kao CVE-2026-58882, a istraživač bezbednosti Mark Blah opisao ju je kao zero-click napad za onesposobljavanje uređaja. Zbog načina na koji funkcioniše, propust je dobio neformalni naziv „SMS of Death“.
Problem se nalazi u delu Androida zaduženom za obradu WAP Push poruka poslatih putem SMS-a. Nepravilno zadata vrednost u zaglavlju takve poruke može da izazove grešku pri obradi i sruši proces com.android.phone. Pošto taj proces upravlja mobilnim funkcijama, posledice mogu da uključuju prekid tekućeg poziva i gubitak mobilne povezanosti.
Poruka se obrađuje pre nego što stigne u SMS sanduče, pa korisnik možda neće dobiti obaveštenje i neće znati šta izaziva pad sistema. Dodatni problem je što neki operateri ponovo šalju poruke koje nisu uspešno dostavljene, a Android može ponovo da pokušava da obradi poruke koje su već sačuvane na uređaju.
Višestrukim slanjem ovakvih poruka, napad može da dovede i do stalnih restartovanja. Prema objavljenim informacijama, slanje 20 ili više poruka može da aktivira ciklus restartovanja, dok je kod Android 12 uređaja moguće da telefon završi u ponavljajućem recovery režimu. U takvom slučaju, fabričko resetovanje može da ostane jedina praktična opcija.
Google je popravio propust u bezbednosnim ažuriranjima za Android iz oktobra 2026. godine, za podržane verzije Android 14 do Android 17. Popravka sprečava padove pri obradi nepravilnih poruka i uklanja takve poruke iz SMS baze kako ne bi izazivale nove probleme.
Stariji uređaji koji više ne dobijaju softversku podršku ostaju izloženi. Korisnici podržanih telefona trebalo bi da instaliraju najnovije bezbednosno ažuriranje čim postane dostupno od proizvođača.