Le chercheur en sécurité Mark Blah a publié une preuve de concept (exploit) visant une faille d'Android qui peut faire planter le processus cellulaire d'un téléphone et couper les appels, y compris les appels d'urgence. BleepingComputer en a rendu compte le 31 octobre. Surnommée « SMS of Death » et référencée sous le numéro CVE-2026-58882, la vulnérabilité ne nécessite aucune interaction du destinataire : un SMS spécialement conçu la déclenche avant qu'il n'atteigne la boîte de réception.
Blah affirme que Google a corrigé la faille pour Android 14 à 17 dans ses mises à jour de sécurité d'octobre 2026, bien que l'identifiant n'apparaisse pas dans le bulletin de sécurité d'octobre de Google, comme le note le rapport de BleepingComputer. Les appareils Android 12 et 13 restent vulnérables parce qu'ils n'ont pas reçu le correctif, a affirmé le chercheur.
Les conséquences concrètes vont au-delà d'un seul appel coupé. Des messages malveillants peuvent provoquer des plantages répétés, et les tests de Blah ont montré qu'une séquence de messages pouvait laisser les téléphones coincés dans des boucles de redémarrage.
Comment un SMS perturbe le service cellulaire
La vulnérabilité se trouve dans WapPushOverSms.decodeWapPdu, une fonction d'Android qui traite les messages WAP Push remis par SMS. Elle ne valide pas correctement une valeur de longueur d'en-tête avant de l'utiliser pour allouer de la mémoire.
L'exploit envoie ce message malformé de huit octets sous forme de SMS de données adressé au port 2948 :
01 06 88 80 80 80 00 BE
Pendant le traitement, la valeur de longueur d'en-tête devient -2147483648 lorsqu'elle est convertie en entier signé de 32 bits, sans contrôle de bornes. Android tente alors d'allouer de la mémoire avec cette valeur négative, ce qui déclenche une NegativeArraySizeException qui fait planter com.android.phone, le processus chargé des fonctions cellulaires.
Ce plantage interrompt la connectivité mobile et les appels en cours. Comme le traitement intervient avant que le message n'arrive dans la boîte de réception, le destinataire ne voit aucun message expliquant la cause de la perturbation.
Selon Blah, les plantages peuvent se reproduire lorsqu'un opérateur tente de renvoyer le message malveillant, ou lorsqu'Android traite des messages malveillants déjà stockés sur l'appareil. Lors des tests, l'envoi de 20 messages malveillants pouvait provoquer des boucles de redémarrage. Un appareil Android 12 a redémarré en mode récupération environ toutes les 90 secondes et a dû être réinitialisé en usine pour retrouver un fonctionnement normal.
La preuve de concept publiée peut envoyer les messages malveillants depuis un autre appareil Android.
Mises à jour et récupération
Le correctif de Google, intitulé « Fix remote DoS in decodeWapPdu », intercepte les exceptions levées lorsqu'Android traite des messages malformés, selon le rapport. DoS signifie « denial of service », c'est-à-dire déni de service : une perturbation de la disponibilité d'un système. Le correctif supprime également les messages malveillants de la base de données SMS afin qu'ils ne puissent plus déclencher de plantages à répétition.
Un contributeur GitHub nommé Sakis a trouvé un moyen de supprimer ces messages à l'aide d'Android Debug Bridge, ou ADB, un outil permettant de communiquer avec un appareil Android depuis un ordinateur. Cette méthode de récupération nécessite un accès à un ordinateur et des connaissances techniques plus avancées.
Maintenant que l'exploit fonctionnel est public, les utilisateurs d'Android devraient installer les dernières mises à jour de sécurité disponibles, comme le recommande BleepingComputer. Les appareils pris en charge installent généralement ces mises à jour automatiquement, mais leur disponibilité dépend du fabricant et de l'opérateur, et un redémarrage peut être nécessaire pour finaliser l'installation.
