据 BleepingComputer 报道，安全研究员 Mark Blah 已公开 Android 漏洞 CVE-2026-58882 的概念验证（PoC）利用代码。该漏洞被称为「SMS of Death」，攻击者发送一条特制短信，就可能远程中断目标手机的蜂窝服务或使其崩溃。攻击无需用户操作，还会影响正在进行的紧急呼叫。
报道称，这一零点击拒绝服务漏洞源于 Android 的 WapPushOverSms.decodeWapPdu 函数：它没有正确校验短信中的头部长度值。
攻击者可将一条 8 字节的畸形 WAP Push 消息作为数据短信发往端口 2948。相关数值在缺少边界检查的情况下转为有符号 32 位整数后，会变成 -2147483648。Android 随后尝试用这个负值分配内存，触发 NegativeArraySizeException 异常，导致 com.android.phone 进程崩溃。
由于该进程负责蜂窝功能，崩溃会使移动连接中断，并挂断正在进行的通话。Android 在短信进入收件箱之前就会处理它，因此受害者看不到导致手机崩溃的明显线索。
据 Mark Blah 介绍，当运营商重新投递恶意短信，或 Android 尝试处理已经存储在手机上的消息时，攻击还可能造成反复崩溃。
研究员测试发现，发送 20 条恶意短信可使手机陷入重启循环。其中一台 Android 12 设备大约每 90 秒就会重启进入恢复模式，需要恢复出厂设置才能恢复使用。这是研究员在测试设备上观察到的结果。
报道还提到，GitHub 贡献者 Sakis 找到了通过 Android Debug Bridge（ADB）删除恶意短信的办法，但这一过程需要电脑及较高的技术水平。
据 Mark Blah 称，谷歌已在 2026 年 10 月面向 Android 14 至 17 的安全更新中修复该漏洞。不过，BleepingComputer 指出，该漏洞没有列入谷歌当月的安全公告；Android 12 和 13 设备因未收到修复，仍存在风险。
报道称，谷歌的修复标题为「Fix remote DoS in decodeWapPdu」，通过捕获处理畸形短信时触发的异常来防止崩溃，同时从短信数据库中删除恶意消息，避免再次触发故障。
BleepingComputer 建议用户安装最新安全更新。报道提醒，受支持设备通常会自动安装安全更新，但更新何时可用取决于设备厂商和运营商，完成安装也可能需要重启。
