SMS of Death : une faille Android plante un téléphone par SMS

Une vulnérabilité d'Android surnommée SMS of Death permet de perturber un smartphone avec un seul SMS spécialement conçu. Référencée CVE-2026-58882, elle a été détaillée par le chercheur en sécurité Mark Blah. Il s'agit d'une faille de déni de service sans clic : l'utilisateur n'a pas besoin d'ouvrir le message, ni même de le voir, pour que l'attaque fonctionne.

Le mécanisme de l'attaque

Selon le chercheur, le problème se situe dans la fonction WapPushOverSms.decodeWapPdu, qui vérifie mal la valeur de la longueur d'en-tête. Lorsqu'un message WAP Push piégé de huit octets est converti en entier signé de 32 bits sans contrôle de plage, le résultat est un nombre négatif. Celui-ci déclenche une exception NegativeArraySizeException et provoque l'arrêt brutal du processus com.android.phone, chargé de la connectivité cellulaire.

Comme Android traite le message avant qu'il n'arrive dans la boîte de réception, il est difficile d'identifier la cause du plantage. Les appels en cours sont interrompus, y compris les appels aux services d'urgence.

Les plantages peuvent se répéter, notamment lorsque l'opérateur tente de redistribuer le message malveillant ou lorsque Android traite des messages déjà stockés sur l'appareil. Ces messages peuvent être supprimés manuellement via Android Debug Bridge (ADB), une option réservée aux utilisateurs avertis.

Quels appareils sont concernés

D'après Mark Blah, Google a corrigé la faille dans les mises à jour de sécurité d'octobre 2026 pour les versions 14 à 17 d'Android. Les appareils sous Android 12 et 13 restent vulnérables.

Le chercheur a également publié un code d'exploitation de démonstration capable d'envoyer ces messages depuis un autre appareil Android, ce qui facilite les abus. Il est recommandé d'installer les dernières mises à jour de sécurité. Pour les téléphones restés sous Android 12 ou 13, aucun correctif n'est disponible à ce stade.