Výzkumník zveřejnil proof-of-concept exploit pro CVE-2026-58882, zranitelnost typu zero-click, která umožňuje jediným osmibajtovým datovým SMS na port 2948 shodit celulární proces nezáplatovaného telefonu s Androidem. Chyba je v nesprávné validaci hodnoty délky hlavičky ve funkci WapPushOverSms.decodeWapPdu: hodnota se jako 32bitové celé číslo se znaménkem změní na -2147483648, vyvolá výjimku NegativeArraySizeException a ukončí proces com.android.phone.
Protože Android zprávu zpracuje dřív, než se dostane do schránky, oběť nevidí žádnou stopu příčiny. Přeruší se připojení a mohou se přerušit probíhající hovory včetně tísňových. V testech vedlo asi 20 škodlivých zpráv ke smyčce restartů; jeden telefon s Androidem 12 se restartoval do recovery zhruba každých 90 sekund a vyžadoval tovární reset.
Google chybu údajně opravil v říjnových aktualizacích 2026 pro novější verze Androidu, i když v říjnovém bulletinu uvedena není. Zařízení s Androidem 12 a 13, která opravu nedostávají, zůstávají ohrožená. Přispěvatel na GitHubu našel způsob, jak škodlivé zprávy odstranit pomocí ADB.