B
今週中
AndroidのTelephonyシステムにおける脆弱性「SMS of Death」(CVE-2026-58882)
📌 一言でいうと
AndroidのTelephonyシステムにおける脆弱性「SMS of Death」(CVE-2026-58882)が公開されました。攻撃者が特別に細工したWAP Pushメッセージを送信すると、com.android.phoneプロセスがクラッシュし、ネットワーク接続の切断や通話の中断が発生します。ユーザーがメッセージを開く必要はなく、Android 12から16までが影響を受け、繰り返し送信されるとデバイスが再起動ループに陥る可能性があります。
🔍該当判定
- 社用携帯などで Android 12 または Android 13 の端末を利用している
- 社用携帯などで Android 14 以降を利用しており、2025年10月分以降のセキュリティ更新を適用していない
- 社員が Android 端末を業務で利用しており、電話番号が外部に公開されている
上記いずれにも該当しない → 静観でOK
✅該当時の対応
Android 14以降のユーザーは、2026年10月のセキュリティアップデートを適用してください。Android 12および13のユーザーは、メーカーからの修正パッチ提供を確認し、速やかに適用することを推奨します。
📧 メール案を見る (社員向け + 管理者向け)
⚠️ これは AI が生成した参考例です。配信前に必ず内容をご確認のうえ、貴社の状況に合わせて編集してご利用ください。実際の被害状況や自社の利用環境を踏まえた判断は、貴社のセキュリティ責任者にご確認ください。
件名: 【注意喚起】Androidスマートフォンをご利用の方へ：セキュリティ更新のお願い
お疲れさまです。情報システム担当です。
Androidスマートフォンにおいて、特定のメッセージを受信するだけで電話機能が停止したり、端末が再起動したりする脆弱性が報告されました。
ご協力をお願いしたいこと:
1. お使いのスマートフォンの「設定」から「システムアップデート」を確認し、最新の状態に更新してください。
2. 特にAndroid 14以降をご利用の方は、10月分以降のアップデートが適用されているかご確認ください。
対応期限: 今週中
お疲れさまです。情報システム担当です。
Androidスマートフォンにおいて、特定のメッセージを受信するだけで電話機能が停止したり、端末が再起動したりする脆弱性が報告されました。
ご協力をお願いしたいこと:
1. お使いのスマートフォンの「設定」から「システムアップデート」を確認し、最新の状態に更新してください。
2. 特にAndroid 14以降をご利用の方は、10月分以降のアップデートが適用されているかご確認ください。
対応期限: 今週中
Subject: [Security Alert] Please Update Your Android Devices
Dear Employees,
A vulnerability has been reported in Android smartphones where receiving a specific message can cause the phone's network functions to crash or the device to reboot.
Requested Actions:
1. Please check for system updates in your smartphone's "Settings" and install any available updates.
2. Users of Android 14 and above should ensure that the October 2026 security patch or later is applied.
Deadline: By the end of this week
Dear Employees,
A vulnerability has been reported in Android smartphones where receiving a specific message can cause the phone's network functions to crash or the device to reboot.
Requested Actions:
1. Please check for system updates in your smartphone's "Settings" and install any available updates.
2. Users of Android 14 and above should ensure that the October 2026 security patch or later is applied.
Deadline: By the end of this week
件名: 【共有】Android Telephony 脆弱性 (CVE-2026-58882) 対応について
お疲れさまです。AndroidのTelephonyシステムにおける脆弱性に関する情報共有です。
■ 概要
WAP Pushメッセージのヘッダー長検証の不備により、NegativeArraySizeExceptionが発生し、com.android.phoneプロセスがクラッシュする脆弱性です。ユーザーの操作なしにネットワーク切断や通話切断が引き起こされ、最悪の場合、再起動ループに陥ります。
■ 影響範囲
- Android 12, 13, 14, 15, 16
■ 対応手順
1. 端末のセキュリティパッチレベルを確認し、2026年10月以降のアップデートを適用させる。
2. Android 12および13については、AOSPの修正が各ベンダーに適用されているか確認し、個別のパッチ適用を促す。
■ 参考情報
- CVE-2026-58882
対応優先度: 高
対応期限: 速やかに
お疲れさまです。AndroidのTelephonyシステムにおける脆弱性に関する情報共有です。
■ 概要
WAP Pushメッセージのヘッダー長検証の不備により、NegativeArraySizeExceptionが発生し、com.android.phoneプロセスがクラッシュする脆弱性です。ユーザーの操作なしにネットワーク切断や通話切断が引き起こされ、最悪の場合、再起動ループに陥ります。
■ 影響範囲
- Android 12, 13, 14, 15, 16
■ 対応手順
1. 端末のセキュリティパッチレベルを確認し、2026年10月以降のアップデートを適用させる。
2. Android 12および13については、AOSPの修正が各ベンダーに適用されているか確認し、個別のパッチ適用を促す。
■ 参考情報
- CVE-2026-58882
対応優先度: 高
対応期限: 速やかに
Subject: [Technical Info] Android Telephony Vulnerability (CVE-2026-58882)
Dear IT Security Team,
This is a technical briefing regarding a vulnerability in the Android Telephony system.
■ Overview
Due to insufficient validation of WAP Push message header lengths in WapPushOverSms.decodeWapPdu(), a NegativeArraySizeException can be triggered, crashing the com.android.phone process. This allows an attacker to cause network loss or disconnect calls without user interaction. Repeated attacks may lead to boot loops.
■ Affected Scope
- Android 12, 13, 14, 15, 16
■ Remediation Steps
1. Ensure devices are updated to the October 2026 security patch level or later.
2. For Android 12 and 13, verify if OEM-specific patches addressing this CVE have been released and deployed.
■ Reference
- CVE-2026-58882
Priority: High
Deadline: Immediate
Dear IT Security Team,
This is a technical briefing regarding a vulnerability in the Android Telephony system.
■ Overview
Due to insufficient validation of WAP Push message header lengths in WapPushOverSms.decodeWapPdu(), a NegativeArraySizeException can be triggered, crashing the com.android.phone process. This allows an attacker to cause network loss or disconnect calls without user interaction. Repeated attacks may lead to boot loops.
■ Affected Scope
- Android 12, 13, 14, 15, 16
■ Remediation Steps
1. Ensure devices are updated to the October 2026 security patch level or later.
2. For Android 12 and 13, verify if OEM-specific patches addressing this CVE have been released and deployed.
■ Reference
- CVE-2026-58882
Priority: High
Deadline: Immediate