--- title: "Androidに「SMS of Death」、受信だけで電話が止まる脆弱性CVE-2026-58882。11月のセキュリティ情報で修正、Android 12・13は対象外" description: "Googleは2026年11月2日、Androidの11月版セキュリティ情報を公開し、細工されたWAP Pushメッセージの受信だけで電話機能のプロセスが異常終了する脆弱性CVE-2026-58882（深刻度Critical）をSystemの修正対象に挙げた。発見者の研究者は「SMS of Death」と呼び、検証コードも公開済みだ。修正されるバージョン、10月更新で直っていたという指摘との食い違い、自分の端末で確認すべきパッチレベルの見方を整理した" url: https://itpostjp.com/security/android-sms-of-death-cve-2026-58882-november-bulletin/ category: "セキュリティ" published_at: 2026-11-03T08:27:00Z updated_at: 2026-11-03T08:27:00Z author: "IT Post編集部" editor: "編集長 千田智也" publisher: "IT Post by Rice Studio Lab" language: ja-JP ai_generated: true ai_model: muse-wonder terms: ["DoS攻撃（サービス拒否攻撃）", "OSアップデート", "脆弱性"] --- # Androidに「SMS of Death」、受信だけで電話が止まる脆弱性CVE-2026-58882。11月のセキュリティ情報で修正、Android 12・13は対象外 IT Post編集部 ＆ 編集長 千田智也 Googleは2026年11月2日、Androidの11月版セキュリティ情報を公開し、細工されたWAP Pushメッセージの受信だけで電話機能のプロセスが異常終了する脆弱性CVE-2026-58882（深刻度Critical）をSystemの修正対象に挙げた。発見者の研究者は「SMS of Death」と呼び、検証コードも公開済みだ。修正されるバージョン、10月更新で直っていたという指摘との食い違い、自分の端末で確認すべきパッチレベルの見方を整理した ## 30秒で分かる結論 - Googleは2026年11月2日、Androidの11月版セキュリティ情報（Android Security Bulletin—November 2026）を公開し、脆弱性CVE-2026-58882を、Systemコンポーネントの深刻度「Critical（最も深刻）」のサービス拒否（DoS）として修正対象に挙げました。対象のAOSPバージョンはAndroid 14、15、16、16 QPR2、17です。 - この脆弱性は、細工されたWAP Pushメッセージを受け取るだけで、電話機能を担うプロセスが異常終了するものです。発見した研究者は「SMS of Death」と呼び、通話中（緊急通報を含む）の切断や、繰り返しの再起動につながり得ると説明しています。検証用のコードも公開済みです。 - 自分の端末の設定で「Androidセキュリティアップデート」の日付を確認し、メーカーや携帯会社から届く更新を適用してください。脆弱なコードはAndroid 12・13にもあると指摘されていますが、今回の修正対象には含まれていません。 ## まず初めに たった8バイトのメッセージで、電話という一番原始的で一番切れてはいけない機能が落ちる。しかも受信側は何も触っていないし、受信トレイにすら残らない。派手な乗っ取りでも情報の持ち出しでもない、ただ「電話が使えなくなる」だけの欠陥だが、緊急通報の最中に切れる可能性を考えると、笑って済ませられる種類の話ではない。名前の仰々しさに惑わされず、まず自分の端末のパッチレベルを見る。それがこの記事で一番言いたいことである。 ※個人の感想です ## 何が起きたのか Googleは2026年11月2日（米国時間）、月例の「Android Security Bulletin—November 2026」を公開しました。セキュリティ情報では、脆弱性が部品（コンポーネント）ごとに整理され、深刻度と、修正が入るAOSP（Androidの基本ソフト）バージョンが表で示されています。 CVE-2026-58882は、Systemコンポーネントの表に、種類「DoS（サービス拒否）」、深刻度「Critical」、対象バージョン「14、15、16、16 QPR2、17」として掲載されています。同月の情報にはこのほかにも、Frameworkの遠隔コード実行（CVE-2026-58868）やSystemの遠隔コード実行（CVE-2026-58876、CVE-2026-58936）など、深刻度Criticalの脆弱性が複数含まれています。 パッチレベルの読み方も重要です。このセキュリティ情報は「2026-11-01」と「2026-11-05」の2段階のパッチレベルで構成され、Googleは「2026-11-05以降のパッチレベルで、この情報のすべての問題に対処できる」としています。CVE-2026-58882は「2026-11-01」側の表に掲載されています。 ## 脆弱性の仕組み 技術的な中身は、発見した研究者Mark B氏が公開ページ「SMS of Death」で説明しています。それによると、問題はAndroidの電話まわりの部品（WapPushOverSms）の、WAP Pushメッセージを読み解く処理（decodeWapPdu）にあります。 メッセージのヘッダー長を読み取る際、値の範囲を確認しないまま符号付きの整数へ変換してしまうため、細工された値が「-2147483648」という負の配列サイズに化けます。そのサイズでメモリを確保しようとして例外（NegativeArraySizeException）が発生し、電話機能を担うプロセス「com.android.phone」が異常終了する、という流れです。攻撃側が送るのは、宛先ポート2948への8バイトのデータSMSで、対象者の操作は一切いりません（ゼロクリック）。メッセージは通常の受信トレイに表示されず、送り手の番号も被害者には見えないとされています。 研究者は、通話中の電話（緊急通報を含む）がこの異常終了で切断されること、キャリアが未達メッセージを再送するたびに異常終了が繰り返され得ること、悪意のあるメッセージを約20通送られると端末が再起動を繰り返す状態になり得ることを、実機での再現にもとづいて報告しています。再起動の繰り返しから抜けるには、コンピューターとADB（開発者向けの接続ツール）で問題のメッセージを削除する方法が他の開発者から示されていますが、一般の利用者にはハードルが高く、場合によっては初期化（工場出荷時リセット）が必要になる例もあったとしています。 ![CVE-2026-58882の概要（Googleの2026年11月版セキュリティ情報と発見者の公開資料に基づき、対象バージョン・深刻度・修正のパッチレベルを整理した図解）](/images/articles/android-sms-of-death-cve-2026-58882-november-bulletin-inline-1.webp) ## 「10月更新で修正済み」という指摘との食い違い ややこしいのは、修正が届く時期についての説明が、情報源によって食い違っている点です。 研究者とBleepingComputerは、Googleの修正自体は2026年10月のセキュリティ更新でAndroid 14〜17向けに出ていた、としています。研究者によれば、修正（「Fix remote DoS in decodeWapPdu」）は例外の受け止め方を広げ、異常終了の原因になったメッセージを削除して再発を防ぐ内容で、10月版のパッチレベル以降の端末は守られる、という説明です。一方で、この脆弱性は10月版のセキュリティ情報には載っておらず、公式にCVEとして整理されたのは今回の11月版です。 利用者の立場でこの食い違いをどう扱うべきかは単純で、「古い説明の方に合わせて安心しない」ことです。端末の設定に表示されるパッチレベルが新しいほど、今回の分を含む過去の修正もまとめて入っています。メーカーや携帯会社によって更新の届く時期は異なり、再起動が必要な場合もあるとBleepingComputerは指摘しています。届いている更新があれば、後回しにせず適用してください。 ## 自分の端末で確認すること 確認の手順は次のとおりです。 1. 設定アプリを開き、「デバイス情報」などから「Androidセキュリティアップデート」の日付（パッチレベル）を確かめる 2. システム更新の画面で、新しい更新が届いていないか確認し、届いていれば適用する 3. Android 12・13の端末では今回の修正が届かないため、端末の買い替えや、サポートが続いている機種への移行を検討する Googleのセキュリティ情報自体も、端末のパッチレベルの確認方法として公式サポートページを案内しています。なお、今回の脆弱性について、セキュリティ情報の中に「実際に悪用されている」という記載はありません。ただし検証コードが公開されている以上、未適用の期間が長いほど狙われる可能性は上がります。 SMSそのものを悪用する手口はこれだけではありません。メッセージアプリに残る形で不正アプリのインストールへ誘導するフィッシングについては、[フィッシング対策協議会の緊急情報を整理した過去記事](https://itpostjp.com/security/antiphishing-council-android-malicious-app-sms-alert/)もあわせて確認してください。今回の欠陥は「開かなければ安全」な種類ではなく、対策はパッチの適用に限られる点が決定的に違います。 ## IT Postの見方 IT Postでは、この件で一番重いのは、欠陥の場所が「電話」という最も基本的な機能で、しかも被害者が何もしないまま、気づく手がかりすらなく影響を受ける点だと考えます。情報を盗む欠陥は「漏れたかどうか」が問題になりますが、今回のような可用性を断つ欠陥は、緊急通報という代替の利かない場面で牙をむきます。 もう1つの論点は、Android 12・13の扱いです。脆弱なコードが存在することは研究者の検証で示されているのに、修正は届かない。IT Postでは、セキュリティ更新の終了した端末を「まだ使えるから」と使い続けることのコストが、こういう日に表面化すると考えます。端末の価格だけでなく、更新が何年届くかまで含めて選ぶ時代になっている、という当たり前の話でもあります。 ## 今後どうなりそうか メーカーや携帯会社経由の更新は順次届くため、今後しばらくは「修正済みの端末」と「まだ届いていない端末」が混在する状態が続きます。Googleはセキュリティ情報の公開から48時間以内に、対応するソースコードの修正をAOSPリポジトリへ公開するとしています。 研究者が検証コードを公開しているため、悪用の試行が報告されるかどうかが次の焦点です。新しい公式発表や、国内メーカー・携帯会社からの個別の案内が確認できれば、本記事の内容も踏まえて続報として整理します。 ## 情報源 「一次情報」は資料の出所を示す区分で、編集部による独立した実測や、すべての主張の実証を示すものではありません。確認の範囲や未確認の点は、本文の説明と併せてご覧ください。 - [Android Security Bulletin—November 2026](https://source.android.com/docs/security/bulletin/2026/2026-11-01) — Google（Android Open Source Project）（一次情報） - [SMS of Death: zero-click Android telephony DoS](https://smsofdeath.com/) — Mark B（発見者による技術公開ページ） - [New Android SMS of Death exploit can remotely crash unpatched phones](https://www.bleepingcomputer.com/news/security/new-android-sms-of-death-exploit-can-remotely-crash-unpatched-phones/) — BleepingComputer ## この記事に出てくるIT用語 - [DoS攻撃（サービス拒否攻撃）](https://itpostjp.com/terms/denial-of-service-dos/): 特定のサーバーや機器に大量の通信や不正な処理を送りつけ、正常なサービス提供を妨害する攻撃のことです。 - [OSアップデート](https://itpostjp.com/terms/os-update/): スマートフォンやパソコンの基本ソフトを最新の状態に更新することです。 - [脆弱性](https://itpostjp.com/terms/vulnerability/): ソフトウェアやシステムに存在する、悪用されると情報の窃取や不正操作につながりかねない設計・実装上の欠陥のことです。 --- この記事は、公開情報と出典URLの検証、文章作成の一部に生成AIを使用しています。内容の責任はIT Post by Rice Studio Labが負います。 出典表記: IT Post by Rice Studio Lab — https://itpostjp.com/security/android-sms-of-death-cve-2026-58882-november-bulletin/