Il ricercatore di sicurezza Mark Blah ha rilasciato un exploit proof-of-concept per un difetto di Android che può mandare in crash il processo cellulare del telefono e disconnettere le chiamate, comprese quelle di emergenza, come riportato da BleepingComputer il 31 ottobre. Battezzato «SMS of Death» e tracciato come CVE-2026-58882, il difetto non richiede alcuna interazione da parte del destinatario: un messaggio di testo appositamente costruito lo attiva prima che raggiunga la casella SMS.
Blah sostiene che Google abbia corretto il difetto per Android dalla versione 14 alla 17 con gli aggiornamenti di sicurezza di ottobre 2026, sebbene l'identificativo non compaia nel bollettino di sicurezza di ottobre di Google, come osservato nel rapporto di BleepingComputer. I dispositivi con Android 12 e 13 restano vulnerabili perché non hanno ricevuto la correzione, ha dichiarato il ricercatore.
La conseguenza pratica va oltre una singola chiamata caduta. I messaggi malevoli possono causare crash ripetuti e i test di Blah hanno mostrato che una sequenza di messaggi può lasciare i telefoni bloccati in cicli di riavvio.
Come un messaggio di testo interrompe il servizio cellulare
La vulnerabilità si trova in WapPushOverSms.decodeWapPdu, una funzione di Android che elabora i messaggi WAP Push recapitati tramite SMS. Non convalida correttamente un valore di lunghezza dell'header prima di usarlo per allocare memoria.
L'exploit invia questo messaggio malformato di otto byte come SMS di dati indirizzato alla porta 2948:
01 06 88 80 80 80 00 BE
Durante l'elaborazione, il valore di lunghezza dell'header diventa -2147483648 quando viene convertito in un intero con segno a 32 bit, senza un controllo dei limiti. Android tenta quindi di allocare memoria usando quel valore negativo, innescando una NegativeArraySizeException che manda in crash com.android.phone, il processo responsabile delle funzioni cellulari.
Il crash interrompe la connettività mobile e le chiamate in corso. Poiché l'elaborazione avviene prima che il messaggio raggiunga la casella di posta, il destinatario non vede alcun messaggio che spieghi la causa del disservizio.
Blah ha detto che i crash possono ripetersi quando un operatore tenta di recapitare di nuovo il messaggio malevolo o quando Android elabora messaggi malevoli già memorizzati sul dispositivo. Nei test, l'invio di 20 messaggi malevoli ha potuto causare cicli di riavvio. Un dispositivo Android 12 si è riavviato in modalità recovery circa ogni 90 secondi e ha richiesto un ripristino di fabbrica per tornare operativo.
Il proof of concept pubblicato può inviare i messaggi malevoli anche da un altro dispositivo Android.
Aggiornamenti e ripristino
La patch di Google, intitolata «Fix remote DoS in decodeWapPdu», intercetta le eccezioni sollevate durante l'elaborazione di messaggi malformati, riferisce il rapporto. DoS significa denial of service, cioè l'interruzione della disponibilità di un sistema. La patch elimina anche i messaggi malevoli dal database SMS, così non possono innescare ripetutamente i crash.
Un contributore di GitHub di nome Sakis ha trovato un modo per rimuovere i messaggi usando Android Debug Bridge, o ADB, uno strumento per comunicare con un dispositivo Android da un computer. Questo metodo di ripristino richiede l'accesso a un computer e conoscenze tecniche più avanzate.
Con un exploit funzionante ormai pubblico, gli utenti Android dovrebbero installare gli ultimi aggiornamenti di sicurezza disponibili, come raccomanda BleepingComputer. I dispositivi supportati di solito installano gli aggiornamenti di sicurezza in automatico, ma la disponibilità dipende dal produttore e dall'operatore, e per completare l'installazione potrebbe essere necessario un riavvio.
