不可視のテキストメッセージだけで、Androidスマートフォンの通話機能がクラッシュし、緊急通話が中断され、端末がクラッシュを繰り返す状態に陥るおそれがある。
セキュリティ研究者のMark Blaszczyk氏は、CVE-2026-58882として追跡されている重大な脆弱性を公表した。この脆弱性を悪用すると、特別に細工したWAP Push SMSを送信することで、Androidのテレフォニー・フレームワークを妨害できる。
CVE-2026-58882として追跡されているこの脆弱性は、Androidの中核テレフォニー・フレームワークに影響する。攻撃に対して受信者側の操作は一切必要ない。被害者はメッセージを開いたり、リンクをクリックしたり、通知を受け取ったりする必要さえない。
Blaszczyk氏によると、悪意のあるメッセージは受信トレイに表示されず、Androidが送信者の番号を明らかにすることもない。この脆弱性はAndroid 12～16に影響し、GoogleはAndroid 14～17向けに2026年10月のセキュリティアップデートで修正を配布した。セキュリティパッチを利用できない古いバージョンを搭載した端末は、引き続き危険にさらされる可能性がある。
わずか数バイトでAndroidをクラッシュさせる仕組み
問題は、携帯電話ネットワーク経由で送信されたWAP Pushメッセージを処理する、AndroidのWapPushOverSmsコンポーネント内部にある。
Blaszczyk氏はAndroidがメッセージのヘッダー長を大きな数値として読み取った後、その値が有効か確認せずに小さな整数へ変換していることを発見した。特別に細工した5バイトのシーケンスによって、この変換の結果は負の数になる。Androidがその値を使ってメモリーを割り当てようとすると、NegativeArraySizeExceptionが発生する。
この例外によって、テレフォニー機能を担うシステムプロセスcom.android.phoneがクラッシュする。研究者がGoogle PixelとSamsung Galaxyデバイスを対象にテストしたところ、再現率は100％だった。
クラッシュの繰り返しでスマートフォンが使えなくなる
直接的な影響は、緊急通話を含む通話の切断だ。スマートフォンのテレフォニーサービスは通常、1～2秒ほどで再起動するが、その間はネットワーク接続が一時的に中断される。ただし、端末が正常に応答できなかったメッセージを通信事業者が再送する可能性があるため、問題が続くこともある。
悪意のあるSMSは、Androidの保留メッセージキューにも残る。スマートフォンが再起動すると、システムはそのメッセージを再び処理しようとするため、再度クラッシュが発生する可能性がある。Blaszczyk氏は、約20件のメッセージによって端末が長時間使えなくなる可能性を確認した。Androidの復旧メカニズム「RescueParty」によって、クラッシュを繰り返す端末が最終的にリカバリーモードへ移行することもある。
Blaszczyk氏は、端末を初期化せずに問題のメッセージを削除するため、Android Debug Bridge（ADB）を使う復旧手順を説明している。ただし、この手順には、多くのスマートフォン所有者が事前に設定していない可能性のある技術的なアクセスが必要となる。
Googleの修正でクラッシュの連鎖に対処
Googleは2026年5月5日にBlaszczyk氏の報告を受け取った。脆弱性に対処するエンジニアリング上の変更は6月15日にコミットされた。Googleは、研究者が提案したヘッダー長の検証を実装する代わりに、例外処理を拡張してランタイムエラーを捕捉し、保留キューから不正なメッセージを削除する方式を採用した。
2026年10月のセキュリティアップデートには、Android 14～17向けの修正が含まれている。GrapheneOSもこの脆弱性が11月のセキュリティ情報に掲載される予定だと明らかにしている。これに先立ち、セキュリティプレビューを通じた配布も行われていた。
異なるタイムラインは、Androidのセキュリティにおける繰り返し起きる課題を浮き彫りにしている。修正がAndroid Open Source Projectに届いたからといって、サポート対象となるすべてのスマートフォンが直ちにその修正を受け取れるわけではない。
Androidユーザーがすべきこと
一般ユーザーにとって、この脆弱性は通常のセキュリティ対策では防げない問題を引き起こす。攻撃はユーザーが何かを見る前に実行されるため、避けるべき不審なリンクも、削除すべきメッセージも存在しない。
利用可能な最新のAndroidセキュリティアップデートをインストールすることが、最も現実的な防御策だ。セキュリティパッチの提供が終了した古い端末の所有者は、根本的な脆弱性が修正されないまま残っている可能性があるため、より大きな不確実性に直面する。
特に懸念されるのは、緊急通話への影響だ。突然テレフォニー機能を失ったスマートフォンでは、助けが最も必要なときに緊急サービスへ連絡できなくなるおそれがある。
Androidの端末エコシステムが抱える、より大きな問題
この脆弱性は、モバイルのセキュリティアップデートが消費者に届く仕組みの弱点も露呈させている。Googleは基盤プラットフォームの欠陥を修正できるが、個々の端末にパッチが届く時期には、メーカーや通信事業者も依然として影響を及ぼす。
アップデートの提供状況はメーカーや通信事業者の影響を受けるため、ユーザーは端末ごとのサポートスケジュールに左右される。セキュリティパッチの提供が終了したスマートフォンは、根本的な脆弱性が修正された後も危険にさらされ続ける可能性がある。
Blaszczyk氏が概念実証コードを公開したことで、パッチの展開は急務となっている。報告された攻撃は受信者側の操作を必要としないため、不審なメッセージに対する通常の予防策ではほとんど防御にならない。
より広い懸念は、個々の端末にとどまらない。テレフォニーサービスを妨害する脆弱性はモバイル通信の信頼性に影響を及ぼす可能性があり、ユーザーの安全とサービスの可用性の双方にとって、タイムリーなアップデートが重要になる。
関連ニュース：Anthropicが、未発表のClaudeモデルがChrome、Safari、Android、Windows、Linuxを標的とする5つの実用的なエクスプロイトチェーンを開発したと述べています。