Android, scoperta la falla SMS of Death: a rischio gli smartphone con versioni 12 e 13

Il ricercatore di sicurezza Mark Blah ha individuato una pericolosa vulnerabilità di tipo zero-click denominata informalmente SMS of Death, identificata ufficialmente con la sigla CVE-2026-58882. La falla espone gli smartphone che utilizzano le versioni 12 e 13 del sistema operativo Android a attacchi remoti in grado di interrompere le funzionalità telefoniche e, in alcuni casi, causare il blocco persistente del dispositivo. Secondo quanto emerso dall'analisi tecnica, l'attacco non richiede alcuna interazione da parte del proprietario dello smartphone: è sufficiente la semplice ricezione di un messaggio appositamente configurato perché il sistema subisca un arresto anomalo.

L'origine del problema risiede in un errore di convalida della lunghezza dell'intestazione all'interno della funzione WapPushOverSms.decodeWapPdu del sistema operativo sviluppato da Google. Quando il dispositivo riceve un messaggio WAP Push da otto byte strutturato in modo specifico, il software tenta di convertire i dati in un numero intero a 32 bit con segno senza verificare i limiti dell'intervallo. Questa operazione genera un valore negativo che provoca un'eccezione critica di tipo NegativeArraySizeException. Il risultato immediato è la chiusura forzata del processo com.android.phone, ovvero l'applicativo di sistema responsabile della gestione della connettività cellulare e dei protocolli di comunicazione.

L'interruzione di questo processo ha conseguenze dirette e immediate sulla comunicazione: le chiamate in corso vengono interrotte e l'utente perde la possibilità di effettuare o ricevere telefonate, inclusi i contatti con i servizi di emergenza. La gravità della falla è accentuata dalla difficoltà di identificazione della causa del malfunzionamento. Poiché Android elabora il messaggio dannoso prima ancora che questo venga mostrato nella cartella della posta in arrivo, l'utente vede il proprio telefono smettere di funzionare senza un motivo apparente o una notifica visibile.

Google ha già provveduto a risolvere la vulnerabilità attraverso gli aggiornamenti di sicurezza rilasciati nel corso del mese di ottobre 2026. Tuttavia, i correttivi sono destinati esclusivamente alle versioni del sistema operativo comprese tra Android 14 e Android 17. Gli smartphone che eseguono ancora le versioni 12 e 13 rimangono scoperti e vulnerabili all'exploit, di cui il ricercatore ha pubblicato un concetto di prova (proof-of-concept) per dimostrare come sia possibile inviare tali messaggi da un altro dispositivo della stessa piattaforma.

Oltre all'interruzione singola, l'attacco può generare una catena di errori ciclici. Se l'operatore telefonico tenta di recapitare nuovamente il messaggio non consegnato o se il sistema operativo prova a rielaborare i dati già salvati nella memoria del dispositivo, lo smartphone può entrare in una sequenza continua di crash. Per gli utenti tecnicamente più esperti, una possibile soluzione manuale consiste nell'utilizzo di Android Debug Bridge (ADB) per accedere alla memoria interna ed eliminare i messaggi compromessi, ripristinando la stabilità del sistema.