I ricercatori hanno scoperto una vulnerabilità critica in Android, identificata tecnicamente come CVE-2026-58882 ma ribattezzata SMS of Death per rendere l'idea della sua pericolosità. Basta un solo messaggio manipolato per mettere fuori uso un dispositivo basato sul sistema operativo di Google, senza che la vittima debba compiere alcuna azione. Un attacco tanto semplice quanto devastante, che sfrutta la fase di elaborazione del messaggio prima ancora che questo raggiunga la casella di posta in arrivo.
Come funziona l'attacco
Il cuore del problema risiede in una stringa appositamente costruita, contenente un'intestazione WAP Push alterata che manda in blocco il processo com.android.phone, quello associato alla gestione delle telefonate. Quando il software tenta di convertire la prima parte del messaggio, il valore assegnato diventa negativo (-2.147.483.648) e, durante l'allocazione della memoria, genera un'eccezione che interrompe bruscamente le comunicazioni. Lo smartphone va in crash senza apparente motivo, bloccando qualsiasi operazione in corso, comprese le chiamate di emergenza.
Bootloop infinito e reset obbligato
Durante i test, i ricercatori hanno scoperto uno scenario ancora peggiore: inviando 20 SMS corrotti allo smartphone della vittima, il dispositivo rimane intrappolato in un bootloop infinito, riavviandosi ogni 90 secondi circa in modalità di ripristino. Per riprenderne il controllo è necessario un reset alle impostazioni di fabbrica, con la conseguente perdita di tutti i dati non salvati. Un attacco che non richiede competenze particolari e che può colpire chiunque, senza alcun preavviso.
La buona notizia è che i dispositivi aggiornati con le patch di sicurezza di ottobre sono al sicuro: Google ha incluso il fix nel pacchetto destinato alle versioni del sistema operativo dalla 14 alla 17. Quella cattiva è che l'aggiornamento ha raggiunto finora pochi utenti, confermando ancora una volta come la lentezza nella distribuzione delle patch resti il tallone d'Achille della piattaforma Android.
