Android : la faille « SMS of Death » plante les téléphones

Un défaut de validation

Selon le chercheur, la fonction WapPushOverSms.decodeWapPdu ne vérifie pas la valeur de longueur de l'en-tête. Il suffit d'envoyer un message WAP Push malformé de huit octets, sous forme de message de données, vers le port 2948. La valeur devient négative, l'allocation de mémoire échoue et le processus com.android.phone, chargé des fonctions cellulaires, plante : la connexion au réseau est perdue.

Des plantages répétés sont possibles lorsque les opérateurs retentent la livraison des messages malveillants ou quand Android traite des messages déjà stockés. Lors des tests, l'envoi de 20 messages a plongé des téléphones dans une boucle de redémarrage. Un appareil sous Android 12 redémarrait en mode de récupération toutes les 90 secondes environ et n'a retrouvé son fonctionnement qu'après une réinitialisation d'usine. Un contributeur GitHub nommé Sakis a trouvé comment supprimer les messages avec l'outil ADB, mais cela exige des compétences avancées et un ordinateur.

Quels appareils sont concernés

D'après le chercheur, Google a corrigé la faille dans les mises à jour de sécurité d'octobre 2026 pour Android 14, 15, 16 et 17, bien qu'elle ne figure pas dans le bulletin officiel du mois. Les appareils sous Android 12 et 13 restent vulnérables faute de correctif, tout comme les téléphones n'ayant pas encore reçu la mise à jour d'octobre 2026.

Le correctif de Google intercepte les exceptions levées lors du traitement des messages malformés et supprime les messages malveillants de la base de données des SMS pour éviter de nouveaux plantages. La distribution des mises à jour dépend du fabricant et de l'opérateur ; certains appareils auront du retard, comme le Galaxy S24 Ultra, qui a reçu la mise à jour progressivement.

Le code d'exploitation étant désormais public, les utilisateurs d'Android sont invités à installer au plus vite la dernière mise à jour de sécurité disponible.