Une vulnérabilité Android récemment signalée, surnommée « SMS of Death » par le chercheur en sécurité Mark Blah, peut perturber le service cellulaire ou faire planter certains téléphones au moyen d’une série de SMS spécialement conçus. La faille est suivie sous le nom CVE-2026-58882 et ne nécessite pas que le destinataire ouvre le message.

Le système Android traite le message malveillant avant qu’il n’atteigne la boîte de réception habituelle. Selon Blah, les messages peuvent rester en attente après un redémarrage et être retentés chaque fois que le téléphone démarre, ce qui peut provoquer des plantages répétés jusqu’à leur suppression.

La faille affecte les versions 12 à 16 d’Android et a été observée sur plusieurs appareils, notamment les Pixel 9 et des téléphones Samsung Galaxy. Elle peut interrompre les appels en cours, y compris les appels d’urgence, car elle affecte le processus Android responsable des fonctions cellulaires.

L’attaque exploite une validation incorrecte de la longueur d’un en-tête dans la fonction WapPushOverSms.decodeWapPdu d’Android. Un message WAP Push malformé peut produire une valeur négative que le système tente d’utiliser pour allouer de la mémoire, ce qui déclenche une NegativeArraySizeException et fait planter le processus com.android.phone. Le rapport indique que 20 messages malveillants suffisent à provoquer le plantage.

Google semble avoir corrigé le problème dans la mise à jour de sécurité Android d’octobre 2026 pour les versions 14 à 17. Le correctif intercepte les exceptions provoquées par les messages et les supprime de la base de données SMS afin d’empêcher leur traitement répété. La mise à jour ne semble pas être disponible pour les appareils qui utilisent encore Android 12 ou 13.

Tom’s Guide a contacté Google après que le rapport a affirmé que le problème avait été considéré comme une « non-priorité », mais Google n’avait pas répondu à ses demandes au moment de la publication.

Les mises à jour de sécurité Android sont généralement installées automatiquement sur les appareils pris en charge, bien que leur disponibilité dépende du fabricant du téléphone et de l’opérateur de réseau. Les utilisateurs doivent vérifier si la mise à jour d’octobre est installée et redémarrer le téléphone si cela est nécessaire pour terminer le processus. Le rapport indique que l’attaque ne semble pas être largement déployée, mais une preuve de concept fonctionnelle a été publiée, ce qui rend important de maintenir à jour les appareils compatibles.

Sources: Tom's Guide.