Basta ricevere un SMS confezionato ad arte per mandare in tilt le funzioni telefoniche di uno smartphone Android. Non serve aprire il messaggio, toccare un collegamento o scaricare un allegato: la vulnerabilità si attiva da sola durante l'elaborazione del testo. Per questo il ricercatore Mark Blaszczyk l'ha ribattezzata "SMS of Death" ed è tracciata come CVE-2026-58882. La segnalazione a Google risale al 5 maggio, mentre i dettagli sono stati pubblicati il 29 ottobre dopo i test su Google Pixel e Samsung Galaxy.
Un attacco silenzioso, non un furto di dati
La falla non consente di rubare password, foto o altri dati personali. Si tratta di un attacco di tipo denial of service: l'obiettivo è impedire al telefono di funzionare, in particolare sul fronte della connettività cellulare. Al momento non sono state identificate campagne su larga scala che abbiano sfruttato la vulnerabilità. Il punto debole riguarda la gestione dei messaggi WAP Push, comunicazioni elaborate direttamente dal framework di telefonia di Android che non compaiono nella normale casella degli SMS: ecco perché l'utente non si accorge di nulla.
Crash a catena e telefoni inutilizzabili
Un messaggio WAP Push malformato provoca un errore nel componente che gestisce la telefonia e manda in crash il processo com.android.phone. La conseguenza immediata è la perdita temporanea della connessione cellulare, con l'interruzione di una telefonata in corso e problemi anche verso i servizi di emergenza. Ogni singolo crash dura pochi secondi, perché Android riavvia automaticamente il processo, ma l'operatore può ritentare la consegna del messaggio e il contenuto può restare in coda ed essere rielaborato: in entrambi i casi il crash si ripete. Durante i test, circa 20 messaggi sono bastati a rendere uno smartphone quasi inutilizzabile, fino a una sequenza continua di riavvii e all'ingresso periodico in modalità di ripristino su Android 12.
Google ha già sviluppato una correzione, realizzata a giugno e distribuita con gli aggiornamenti di sicurezza di ottobre per Android dalla versione 14 alla 17. Il fix impedisce che l'errore faccia crollare ripetutamente il sistema telefonico e permette di eliminare il messaggio che lo ha provocato. Tuttavia CVE-2026-58882 non compare esplicitamente nel bollettino di sicurezza di ottobre, che elenca altre vulnerabilità DoS del framework. Secondo Blaszczyk i dispositivi con Android 14, 15, 16 e 17 aggiornati sono comunque protetti, e per i Pixel tutti i modelli ancora supportati hanno ricevuto la patch con livello 5 ottobre 2026.
La situazione è diversa per Android 12 e 13: il codice vulnerabile è presente anche in queste versioni, ma la correzione non è stata distribuita perché i sistemi sono fuori dalle finestre di supporto. I telefoni rimasti su queste versioni e privi di ulteriori aggiornamenti del produttore restano esposti. In alternativa al ripristino di fabbrica, Blaszczyk ha descritto una procedura via ADB per cancellare dalla memoria i messaggi problematici, ma richiede un computer e competenze tecniche fuori dalla portata dell'utente medio.
