29 października 2026 r. badacz bezpieczeństwa Mark Blaszczyk ujawnił błąd WAP Push w Androidzie: specjalnie spreparowany SMS może bez udziału odbiorcy wywołać awarię procesu telefonii. Zmiana w kodzie Android Open Source Project (AOSP) przechwytuje wyjątek podczas obsługi takiej wiadomości i usuwa wadliwy wpis, by zapobiec powtarzającym się awariom. Blaszczyk opisał błąd i zakres swoich testów, a zmianę w kodzie można sprawdzić w commicie AOSP 735d967.
Jak SMS WAP Push wpływa na Androida
WAP Push to typ wiadomości danych, który Android przetwarza automatycznie, zanim pojawi się ona w skrzynce odbiorczej. Według Blaszczyka błąd w funkcji WapPushOverSms.decodeWapPdu() może doprowadzić do wyjątku NegativeArraySizeException i awarii procesu com.android.phone, odpowiedzialnego za telefonię. Skutkiem może być przerwa w działaniu sieci komórkowej oraz zerwanie aktywnych połączeń, także alarmowych.
Co zmienia poprawka w kodzie Androida
Commit AOSP 735d967 przechwytuje wyjątki RuntimeException podczas dekodowania WAP Push i rozsyłania SMS-a. Gdy obsługa wiadomości kończy się błędem, kod usuwa powiązany z nią wpis z surowej bazy danych. Dzięki temu wadliwa wiadomość nie powinna wywoływać kolejnych awarii w pętli. Zmianę przygotowano 15 czerwca 2026 r., a do repozytorium trafiła 5 sierpnia.
SavvyNik omawia błąd WAP Push po angielsku w krótkim fragmencie przeglądu kilku zagrożeń.
Zakres testów i aktualizacji Androida
Blaszczyk podał, że odtworzył awarię na Androidzie 12–16. Wśród testowanych urządzeń znalazły się Pixel 9 z oprogramowaniem z kwietnia 2026 r. oraz telefony Samsung Galaxy i z serii A. Badacz przypisał październikowej aktualizacji bezpieczeństwa poprawkę dla Androida 14–17; Android 12–13 pozostają poza wskazanym przez niego zakresem tej poprawki.
Blaszczyk wskazał poziom aktualizacji zabezpieczeń z 1 października 2026 r. lub nowszy jako chroniący przed tym błędem. Biuletyn bezpieczeństwa Google z października mówi, że ten poziom poprawek obejmuje wymienione w nim luki. Wymienia też CVE-2026-58865 jako krytyczną lukę typu DoS w Android Framework dla AOSP 14, 15, 16, 16-QPR2 i 17. Biuletyn nie identyfikuje tego wpisu jako błędu WAP Push, a commit 735d967 ma w metadanych oznaczenie „EXEMPT CVE_FIX”. Biuletyn Google opisuje poziom poprawek i własne wpisy CVE osobno od zmiany w kodzie AOSP.
