Una vulnerabilità Android segnalata di recente, soprannominata “SMS della morte” dal ricercatore di sicurezza Mark Blah, può interrompere il servizio cellulare o bloccare alcuni telefoni attraverso una serie di messaggi SMS appositamente creati. La vulnerabilità è identificata come CVE-2026-58882 e non richiede che il destinatario apra il messaggio.

Il sistema Android elabora il messaggio dannoso prima che questo raggiunga la posta in arrivo ordinaria. Secondo Blah, i messaggi possono rimanere in coda dopo un riavvio ed essere nuovamente elaborati ogni volta che il telefono si avvia, causando potenzialmente blocchi ripetuti finché non vengono rimossi.

La vulnerabilità riguarda le versioni di Android dalla 12 alla 16 ed è stata osservata su diversi dispositivi, tra cui Pixel 9 e telefoni Samsung Galaxy. Può interrompere le chiamate in corso, comprese quelle di emergenza, perché interessa il processo Android responsabile delle funzioni cellulari.

L’attacco sfrutta una validazione impropria della lunghezza di un’intestazione nella funzione WapPushOverSms.decodeWapPdu di Android. Un messaggio WAP Push malformato può produrre un valore negativo che il sistema tenta di utilizzare per allocare memoria, attivando una NegativeArraySizeException e bloccando il processo com.android.phone. Il rapporto afferma che sono sufficienti 20 messaggi dannosi per provocare il blocco.

Google sembra aver risolto il problema nell’aggiornamento di sicurezza Android di ottobre 2026 per le versioni dalla 14 alla 17. La correzione intercetta le eccezioni causate dai messaggi e li rimuove dal database degli SMS per impedire che vengano elaborati ripetutamente. L’aggiornamento non sembra essere disponibile per i dispositivi che utilizzano ancora Android 12 o 13.

Tom’s Guide ha contattato Google dopo che il rapporto aveva affermato che il problema era stato considerato una “non priorità”, ma Google non aveva risposto alle richieste della testata al momento della pubblicazione.

Gli aggiornamenti di sicurezza Android vengono generalmente installati automaticamente sui dispositivi supportati, anche se la disponibilità dipende dal produttore del telefono e dall’operatore di rete. Gli utenti dovrebbero verificare se l’aggiornamento di ottobre è installato e riavviare il telefono, se necessario, per completare la procedura. Il rapporto indica che l’attacco non sembra essere stato distribuito su larga scala, ma è stato pubblicato un proof of concept funzionante, rendendo importante mantenere aggiornati i dispositivi compatibili.

Fonti: Tom's Guide.