Androidスマートフォンで、細工されたショートメールを受信するだけで通話機能がクラッシュし、最悪の場合は端末が再起動ループに陥るという深刻な脆弱性が明らかになりました。
「SMS of Death」と名付けられたこの脆弱性は、ユーザーがメッセージを開いたり、リンクをタップしたりする必要がなく、攻撃者が送信した特殊なSMSによって発動します。さらに、通常の受信メッセージとして表示されないため、被害者が攻撃に気付きにくいという問題もあります。
Googleはすでに修正を開発しており、Android 14～17向けのセキュリティアップデートにも修正が含まれているとされていますが、端末メーカーごとの配信状況には注意が必要です。
SMSを受信するだけで通話機能がクラッシュ
今回の脆弱性を発見したのは、セキュリティ研究者のMark Blaszczyk氏です。
問題の原因は、Androidが特定の細工されたSMSを正常に処理できないことにあります。攻撃者が特殊なメッセージを送信すると、Androidの通話処理を担当するシステムがクラッシュし、進行中の通話が突然切断される可能性があります。
特に深刻なのは、緊急通報中であっても影響を受ける可能性があることです。例えば、緊急通報番号に電話をかけている最中に攻撃を受けると、通話が強制的に切断される恐れがあります。
また、このショートメールは通常のメッセージとして受信トレイに表示されません。そのため、不審な送信元や怪しい通知から攻撃を察知することも困難です。
約20通のSMSで再起動ループに陥る可能性
さらに厄介なのは、同じメッセージをAndroidが繰り返し処理しようとすることです。
一度クラッシュしても、問題のショートメールが再び処理されることで、通話機能のクラッシュが繰り返される可能性があります。
研究者によると、こうしたメッセージを約20通受信すると、端末がほぼ使用不能になり、再起動ループに陥る恐れがあるとのことです。
場合によっては、初期化しても問題が解決しない可能性があります。通信事業者から問題のSMSが再送信されれば、初期化後も同じ障害が発生するためです。
データを消去せずに復旧するには、スマートフォンをPCに接続し、問題のメッセージを手動で削除する必要がある場合もあるとされています。
なお、この脆弱性はGoogle PixelシリーズとSamsung Galaxyシリーズで再現が確認されています。問題のあるコードはAndroid 12まで遡るため、古いバージョンのAndroidを搭載した端末も影響を受ける可能性があります。
Googleは5月に報告を受けるも、当初は問題を認めず
今回の経緯でもう一つ気になるのが、Googleの対応です。
Blaszczyk氏によると、同氏は2026年5月5日にGoogleへ脆弱性を報告しました。しかし、Google側は当初、これをセキュリティ上の問題ではないとして、複数回にわたって報告を退けたといいます。
これに不満を持った同氏は、10月29日に脆弱性の詳細と実際に攻撃を再現できるデモを公開しました。
ところが、Googleの開発記録を確認すると、同社はすでに6月15日の時点で修正を開発していたことが分かっています。
修正内容は、問題のSMSを処理した際にシステムが繰り返しクラッシュするのを防ぎ、異常を検知した段階で該当メッセージを削除するというものです。
さらに、GrapheneOSの公式Xアカウントによる説明では、Googleは7月のセキュリティプレビューを通じて、この修正を配布していたとのことです。
つまり、研究者への対応では問題を認めていなかった一方、Googleのエンジニアはすでに修正作業を進めていたという、少々不可解な状況になっています。
Android 14～17向けの修正は配信済みか
今回の脆弱性には「CVE-2026-58882」という識別番号が割り当てられており、深刻度はCritical（緊急）と評価されています。
Blaszczyk氏によると、GoogleはAndroid 14～17向けの10月のセキュリティアップデートに修正を含めています。一方、GrapheneOSは11月のAndroidセキュリティ情報への掲載が予定されていると説明しています。
この違いは、必ずしも矛盾するものではありません。Googleが修正を開発してメーカー向けに先行配布した後、一般公開されるセキュリティ情報に掲載するという流れも考えられます。
ただし、修正プログラムが開発済みであることと、すべてのAndroid端末に配信されていることは別の話です。メーカーや機種によってアップデートの配信時期は異なるため、まだ修正が適用されていない端末も存在する可能性があります。
今回の問題は、ユーザーが不審なSMSを開かなくても攻撃が成立し、場合によっては緊急通報にまで影響するという点で非常に深刻です。Android 12以降のコードに関連する問題であることからも、古い端末を含めて幅広い機種への対応が重要になります。
Androidユーザーは、利用している端末に最新のセキュリティアップデートが配信されていないか確認し、適用可能な更新があれば早めにインストールしておいた方がよさそうです。
