Una vulnerabilità di Android può interrompere il funzionamento della parte telefonica di uno smartphone attraverso un singolo messaggio appositamente costruito, senza che il destinatario debba aprirlo o interagire con il dispositivo. Il problema, identificato con il nome SMS of Death e con il codice CVE-2026-58882, è stato reso pubblico il 29 ottobre dal ricercatore Mark B.
Secondo la ricostruzione pubblicata da Hardware Upgrade, il messaggio viene recapitato come SMS dati di tipo WAP Push e non appare nell’applicazione Messaggi. Il suo arrivo può invece provocare la chiusura del processo com.android.phone, cioè il componente di sistema che gestisce le funzioni telefoniche. Il telefono può quindi perdere temporaneamente la rete cellulare e interrompere le chiamate vocali attive, comprese quelle di emergenza.
Quali versioni sono coinvolte
Google ha distribuito la correzione per i dispositivi con Android 14, Android 15, Android 16 e Android 17 attraverso l’aggiornamento di sicurezza di ottobre 2026. La situazione è diversa per Android 12 e Android 13, che secondo la segnalazione restano senza una correzione per questo problema.
| Versione Android | Situazione indicata |
|---|---|
| Android 14-17 | Correzione inclusa nella patch di sicurezza di ottobre 2026 |
| Android 12-13 | Dispositivi ancora privi della correzione indicata |
Gli effetti non si limitano a un arresto momentaneo dell’app telefonica. Quando il processo viene terminato, la rete può rimanere assente per circa uno o due secondi prima del riavvio del componente. Se il messaggio non viene confermato dal telefono, l’operatore può ritrasmetterlo; quelli già presenti nella coda in ingresso possono così essere elaborati nuovamente a ogni avvio.
Chiamate interrotte e riavvii ripetuti
Il ricercatore ha riferito di avere verificato il comportamento su più modelli, tra cui un Pixel 9 con firmware di aprile 2026 e diversi dispositivi Samsung Galaxy e della serie A. Nei test descritti la riproduzione è risultata completa. Un solo messaggio può causare interruzioni intermittenti fino a una settimana, mentre l’invio ripetuto di circa 20 messaggi può rendere il dispositivo inutilizzabile per un periodo prolungato.
Su un telefono con Android 12 è stato osservato anche un ciclo di riavvii: il sistema RescueParty riportava il dispositivo alla schermata di ripristino circa ogni 90 secondi, mostrando la richiesta di cancellare i dati. Hardware Upgrade riferisce inoltre che un contributore di GitHub ha documentato una procedura di recupero senza ripristino ai dati di fabbrica, ma richiede un computer, l’uso di ADB e una certa dimestichezza tecnica. Non è quindi un intervento alla portata di tutti.
- CVE-2026-58882 riguarda la gestione di un SMS WAP Push malformato.
- Il problema può causare la chiusura di com.android.phone senza interazione dell’utente.
- La correzione è indicata per Android 14-17 nella patch di sicurezza di ottobre 2026; Android 12 e 13 risultano ancora scoperti.
La segnalazione riguarda una vulnerabilità del sistema operativo e non un difetto dell’app Messaggi. Il comportamento descritto può incidere sulla disponibilità della rete e sulle chiamate, ma il testo pubblicato non attribuisce alla falla l’esecuzione di codice o il furto di dati. Per Android 14-17, il riferimento alla correzione resta l’aggiornamento di sicurezza di ottobre 2026; per Android 12 e 13, la disponibilità di una patch non è indicata.
