WAP Push SMS to specjalny rodzaj wiadomości systemowej, który może dostarczać do telefonu linki, ustawienia lub inne dane bezpośrednio do przeglądarki albo mechanizmu systemowego. Nie działa jak zwykły SMS, ponieważ odebrana treść często nie trafia do standardowej skrzynki odbiorczej. Technologia ma legalne zastosowania, ale jest też wykorzystywana przez podatność nazywaną „SMS of Death” i oznaczoną jako CVE-2026-58882.
Czym jest WAP Push SMS?
WAP Push to usługa oparta na sieci komórkowej, przeznaczona do przesyłania określonego rodzaju danych. Zamiast wyświetlać tekst w aplikacji Wiadomości, telefon może przekazać odebraną informację do przeglądarki, konfiguratora systemowego lub innego komponentu odpowiedzialnego za obsługę usług mobilnych.
Dlatego użytkownik nie zawsze widzi taką wiadomość. WAP Push jest przetwarzany na poziomie systemowym, a nie wyłącznie przez aplikację SMS. W zależności od rodzaju komunikatu telefon może otworzyć link, zaproponować pobranie treści albo zastosować ustawienia przekazane przez operatora. Zwykłe usunięcie wiadomości ze skrzynki odbiorczej nie ma tu zastosowania, ponieważ komunikat może w ogóle do niej nie trafić.
Do czego służy WAP Push?
Pierwotnym celem tej technologii było dostarczanie treści i konfiguracji do urządzeń mobilnych, zwłaszcza w czasach, gdy telefony miały prostsze przeglądarki i ograniczony dostęp do internetu. WAP Push może służyć między innymi do:
- Dostarczania linków do stron lub innych treści mobilnych.
- Przesyłania ustawień połączenia z internetem albo konfiguracji MMS.
- Udostępniania plików, grafiki, dzwonków, aplikacji lub materiałów multimedialnych.
- Przekazywania powiadomień obsługiwanych przez system telefonu lub operatora.
Do odebrania i prawidłowego przetworzenia komunikatu potrzebne jest urządzenie oraz oprogramowanie zgodne z WAP Push. Współczesny telefon może obsługiwać tę funkcję automatycznie, bez pokazywania użytkownikowi technicznych szczegółów transmisji.
Dlaczego WAP Push jest kojarzony z SMS of Death?
WAP Push znalazł się w centrum uwagi z powodu luki CVE-2026-58882, określanej jako „SMS of Death”. Problem nie wynika z samej idei przesyłania linków czy konfiguracji, lecz z błędnego przetwarzania specjalnie przygotowanych danych przez podatne wersje Androida.
Wadliwy komunikat może zostać obsłużony przez komponent WapPushOverSms.decodeWapPdu. Błąd w interpretacji długości nagłówka prowadzi do próby utworzenia tablicy o ujemnym rozmiarze, co wywołuje wyjątek NegativeArraySizeException. W konsekwencji może dojść do awarii procesu com.android.phone, który odpowiada między innymi za komunikację z siecią komórkową, kartę SIM i połączenia głosowe.
Atak ma charakter zero-click. Telefon może rozpocząć przetwarzanie wiadomości przed przekazaniem jej do aplikacji Wiadomości, więc użytkownik nie musi otwierać SMS-a, klikać linku ani potwierdzać żadnej operacji. Pojedynczy komunikat może przerwać rozmowę lub czasowo zakłócić łączność. W określonych warunkach awaria może dotyczyć także połączeń alarmowych, w tym numeru 112.
Problem może powtarzać się po ponownym uruchomieniu, jeżeli operator ponowi dostarczenie nieprawidłowo obsłużonego pakietu. Większa liczba takich wiadomości może prowadzić do kolejnych awarii, a nawet pętli restartów. Nie oznacza to jednak, że każdy WAP Push jest złośliwy. Zagrożenie dotyczy konkretnego błędu w oprogramowaniu i odpowiednio spreparowanego komunikatu.
Najważniejsza różnica polega na tym, że WAP Push jest legalnym mechanizmem komunikacji, a „SMS of Death” stanowi jego złośliwe wykorzystanie w urządzeniu podatnym na konkretny błąd.
Jak ograniczyć ryzyko?
Najważniejszym zabezpieczeniem jest aktualizacja Androida do wersji zawierającej poprawkę z października 2026 roku lub nowszą. Według dostępnych informacji poprawka objęła Androida 14, 15, 16 i 17. Urządzenia z Androidem 12 i 13 mogą pozostawać bardziej narażone, szczególnie jeśli producent nie dostarcza już dla nich aktualizacji.
Sprawdź poziom poprawek zabezpieczeń w ustawieniach telefonu i zainstaluj dostępne aktualizacje systemowe. Operatorzy mogą także ograniczać dostarczanie szkodliwych komunikatów, ale nie zastępuje to aktualizacji urządzenia. Jeśli telefon wpadnie w pętlę restartów albo utraci łączność po odebraniu podejrzanego komunikatu, potrzebna może być pomoc serwisu, ponieważ sam restart nie zawsze usuwa przyczynę problemu.
Artykuł ma charakter informacyjny i nie zastępuje porady specjalisty ds. bezpieczeństwa ani serwisu urządzeń mobilnych.
