Bastano pochi byte sbagliati per mettere in ginocchio uno smartphone Android. La nuova variante della cosiddetta “SMS of Death” sfrutta un messaggio WAP Push malformato per far collassare il processo com.android.phone, il componente che gestisce telefonia e connettività. La cosa più preoccupante? Non serve alcuna interazione da parte della vittima: il crash scatta appena il messaggio viene ricevuto, senza tap, aperture o conferme.
Come funziona l'attacco
Il difetto risiede nella gestione della lunghezza dell'header del messaggio WAP Push. Un payload costruito ad arte supera i controlli e provoca un loop di crash sul demone telefonico, con effetti tangibili: chiamate impossibili, rete instabile e, nei casi peggiori, un riavvio continuo del dispositivo. Non è un exploit di privilege escalation, ma un attacco di tipo denial of service che può isolare completamente l'utente.
La patch copre solo i dispositivi recenti
Google ha rilasciato una correzione all'interno dell'aggiornamento di sicurezza di ottobre 2026, ma la copertura è parziale: la fix riguarda esclusivamente Android 14, 15, 16 e 17. I dispositivi con Android 12 e 13 restano completamente scoperti, e la stessa patch non risolve alla radice il problema della lunghezza dell'header, limitandosi a mitigare il sintomo. Una scelta che lascia fuori milioni di device ancora in circolazione, spesso utilizzati su hardware di fascia media o economica.
La vicenda riaccende il dibattito sulla frammentazione degli aggiornamenti nel mondo Android: mentre i produttori faticano a distribuire le patch anche sui modelli più recenti, gli utenti dei sistemi datati sono esposti a vulnerabilità note e documentate. In attesa di una correzione più solida, l'unica difesa concreta resta filtrare i messaggi WAP Push tramite operatore o app di terze parti, disattivando la ricezione automatica di questo formato ormai poco usato ma ancora pericoloso.
