Android : le « SMS of Death » plante la téléphonie sans un clic

Le chercheur indépendant en cybersécurité Mark Blaszczyk a rendu publics les détails d'une faille Android « zero click » surnommée « SMS of Death ». Un message texte spécialement conçu peut faire planter en boucle le service de téléphonie de l'appareil, sans que la victime n'ait la moindre action à faire. Google a déjà corrigé le bug : les appareils à jour ne sont pas exposés.

Un défaut de conversion

La faille se situe dans un ancien composant d'Android chargé de traiter un format de « data SMS », utilisé autrefois pour les notifications de MMS et les contenus push. Ces messages n'apparaissent jamais à l'écran et fonctionnent en arrière-plan. Selon le chercheur, Android lit la longueur de l'en-tête comme un entier long, puis la convertit en entier signé sur 32 bits sans vérifier que la valeur reste plausible.

Avec la séquence de cinq octets 88 80 80 80 00, la valeur devient -2147483648. Android tente alors de créer un tableau d'octets de cette taille négative, ce qui met fin au processus com.android.phone, responsable de la téléphonie. Chaque message malformé coupe le service pendant une à deux secondes, le temps du redémarrage, et interrompt les appels en cours.

L'attaquant n'a besoin que du numéro de téléphone de sa cible. Le message n'apparaît ni dans la boîte de réception ni dans les notifications.

D'une brève coupure à un téléphone inutilisable

Un seul message provoque une courte interruption, mais l'attaquant peut en envoyer autant qu'il le souhaite. D'après Mark Blaszczyk, un message peut entraîner des coupures intermittentes jusqu'à une semaine, et vingt messages peuvent rendre un appareil inutilisable plus longtemps encore. Une trentaine de messages envoyés rapidement peuvent corrompre la base SQLite qui stocke les SMS : le téléphone risque alors de planter à chaque démarrage, sans nouveau message.

Une réinitialisation d'usine n'est pas toujours efficace, car le SMS peut être renvoyé. Le chercheur ne propose qu'une solution : retirer la carte SIM physique, l'insérer dans un téléphone non Android et supprimer les SMS corrompus. Avec une eSIM, c'est quasiment impossible.

Corrigée, sans exploitation connue

Mark Blaszczyk a signalé le problème à Google le 5 mai via l'Android and Devices Vulnerability Reward Program. Google l'a d'abord classé comme problème non lié à la sécurité, jugeant sa gravité insuffisante. Un correctif a été développé le 15 juin 2026, puis intégré à la mise à jour de sécurité d'Android d'octobre 2026 pour Android 14 à Android 17.

La faille ne permet ni de voler des données, ni d'installer un logiciel espion, ni de prendre le contrôle du téléphone. Il s'agit d'un déni de service qui peut empêcher d'appeler, de recevoir des appels ou d'utiliser le réseau mobile. Le risque le plus sérieux concerne les appels d'urgence. Aucune exploitation par des pirates n'a été observée à ce jour.