Androidに「SMS of Death」、受信だけで電話が止まる脆弱性CVE-2026-58882。11月のセキュリティ情報で修正、Android 12・13は対象外

まず初めに

たった8バイトのメッセージで、電話という一番原始的で一番切れてはいけない機能が落ちる。しかも受信側は何も触っていないし、受信トレイにすら残らない。派手な乗っ取りでも情報の持ち出しでもない、ただ「電話が使えなくなる」だけの欠陥だが、緊急通報の最中に切れる可能性を考えると、笑って済ませられる種類の話ではない。名前の仰々しさに惑わされず、まず自分の端末のパッチレベルを見る。それがこの記事で一番言いたいことである。

※個人の感想です

何が起きたのか

Googleは2026年11月2日（米国時間）、月例の「Android Security Bulletin—November 2026」を公開しました。セキュリティ情報では、脆弱性が部品（コンポーネント）ごとに整理され、深刻度と、修正が入るAOSP（Androidの基本ソフト）バージョンが表で示されています。

CVE-2026-58882は、Systemコンポーネントの表に、種類「DoS（サービス拒否）」、深刻度「Critical」、対象バージョン「14、15、16、16 QPR2、17」として掲載されています。同月の情報にはこのほかにも、Frameworkの遠隔コード実行（CVE-2026-58868）やSystemの遠隔コード実行（CVE-2026-58876、CVE-2026-58936）など、深刻度Criticalの脆弱性が複数含まれています。

パッチレベルの読み方も重要です。このセキュリティ情報は「2026-11-01」と「2026-11-05」の2段階のパッチレベルで構成され、Googleは「2026-11-05以降のパッチレベルで、この情報のすべての問題に対処できる」としています。CVE-2026-58882は「2026-11-01」側の表に掲載されています。

脆弱性の仕組み

技術的な中身は、発見した研究者Mark B氏が公開ページ「SMS of Death」で説明しています。それによると、問題はAndroidの電話まわりの部品（WapPushOverSms）の、WAP Pushメッセージを読み解く処理（decodeWapPdu）にあります。

メッセージのヘッダー長を読み取る際、値の範囲を確認しないまま符号付きの整数へ変換してしまうため、細工された値が「-2147483648」という負の配列サイズに化けます。そのサイズでメモリを確保しようとして例外（NegativeArraySizeException）が発生し、電話機能を担うプロセス「com.android.phone」が異常終了する、という流れです。攻撃側が送るのは、宛先ポート2948への8バイトのデータSMSで、対象者の操作は一切いりません（ゼロクリック）。メッセージは通常の受信トレイに表示されず、送り手の番号も被害者には見えないとされています。

研究者は、通話中の電話（緊急通報を含む）がこの異常終了で切断されること、キャリアが未達メッセージを再送するたびに異常終了が繰り返され得ること、悪意のあるメッセージを約20通送られると端末が再起動を繰り返す状態になり得ることを、実機での再現にもとづいて報告しています。再起動の繰り返しから抜けるには、コンピューターとADB（開発者向けの接続ツール）で問題のメッセージを削除する方法が他の開発者から示されていますが、一般の利用者にはハードルが高く、場合によっては初期化（工場出荷時リセット）が必要になる例もあったとしています。

「10月更新で修正済み」という指摘との食い違い

ややこしいのは、修正が届く時期についての説明が、情報源によって食い違っている点です。

研究者とBleepingComputerは、Googleの修正自体は2026年10月のセキュリティ更新でAndroid 14〜17向けに出ていた、としています。研究者によれば、修正（「Fix remote DoS in decodeWapPdu」）は例外の受け止め方を広げ、異常終了の原因になったメッセージを削除して再発を防ぐ内容で、10月版のパッチレベル以降の端末は守られる、という説明です。一方で、この脆弱性は10月版のセキュリティ情報には載っておらず、公式にCVEとして整理されたのは今回の11月版です。

利用者の立場でこの食い違いをどう扱うべきかは単純で、「古い説明の方に合わせて安心しない」ことです。端末の設定に表示されるパッチレベルが新しいほど、今回の分を含む過去の修正もまとめて入っています。メーカーや携帯会社によって更新の届く時期は異なり、再起動が必要な場合もあるとBleepingComputerは指摘しています。届いている更新があれば、後回しにせず適用してください。

自分の端末で確認すること

確認の手順は次のとおりです。

1. 設定アプリを開き、「デバイス情報」などから「Androidセキュリティアップデート」の日付（パッチレベル）を確かめる
2. システム更新の画面で、新しい更新が届いていないか確認し、届いていれば適用する
3. Android 12・13の端末では今回の修正が届かないため、端末の買い替えや、サポートが続いている機種への移行を検討する

Googleのセキュリティ情報自体も、端末のパッチレベルの確認方法として公式サポートページを案内しています。なお、今回の脆弱性について、セキュリティ情報の中に「実際に悪用されている」という記載はありません。ただし検証コードが公開されている以上、未適用の期間が長いほど狙われる可能性は上がります。

SMSそのものを悪用する手口はこれだけではありません。メッセージアプリに残る形で不正アプリのインストールへ誘導するフィッシングについては、フィッシング対策協議会の緊急情報を整理した過去記事もあわせて確認してください。今回の欠陥は「開かなければ安全」な種類ではなく、対策はパッチの適用に限られる点が決定的に違います。

IT Postの見方

IT Postでは、この件で一番重いのは、欠陥の場所が「電話」という最も基本的な機能で、しかも被害者が何もしないまま、気づく手がかりすらなく影響を受ける点だと考えます。情報を盗む欠陥は「漏れたかどうか」が問題になりますが、今回のような可用性を断つ欠陥は、緊急通報という代替の利かない場面で牙をむきます。

もう1つの論点は、Android 12・13の扱いです。脆弱なコードが存在することは研究者の検証で示されているのに、修正は届かない。IT Postでは、セキュリティ更新の終了した端末を「まだ使えるから」と使い続けることのコストが、こういう日に表面化すると考えます。端末の価格だけでなく、更新が何年届くかまで含めて選ぶ時代になっている、という当たり前の話でもあります。

今後どうなりそうか

メーカーや携帯会社経由の更新は順次届くため、今後しばらくは「修正済みの端末」と「まだ届いていない端末」が混在する状態が続きます。Googleはセキュリティ情報の公開から48時間以内に、対応するソースコードの修正をAOSPリポジトリへ公開するとしています。

研究者が検証コードを公開しているため、悪用の試行が報告されるかどうかが次の焦点です。新しい公式発表や、国内メーカー・携帯会社からの個別の案内が確認できれば、本記事の内容も踏まえて続報として整理します。