SMS of Death: un solo messaggio blocca Android, cosa sapere

Punto Informatico riporta la scoperta di una falla critica in Android, identificata come CVE-2026-58882 e ribattezzata dai ricercatori SMS of Death. Il nome rende l'idea: basta un solo messaggio inviato da un malintenzionato per mettere fuori uso il dispositivo. La vittima non deve fare nulla, nessun tocco, nessuna apertura di link. Il crash arriva prima che l'SMS raggiunga la casella dei messaggi ricevuti, cioè nel momento in cui il sistema operativo comincia a elaborarlo. In quel frangente si interrompe qualsiasi operazione in corso, comprese le telefonate, anche quelle di emergenza.

Il meccanismo passa da un'intestazione WAP Push alterata, pensata per mandare in blocco il processo com.android.phone, quello a cui sono associate le telefonate. La stringa citata viene inviata come data SMS alla porta 2948. Quando il software prova a convertire la prima parte, il valore assegnato risulta negativo, -2.147.483.648. Durante l'allocazione della memoria questo genera un'eccezione, che si traduce nell'interruzione improvvisa delle comunicazioni. Il risultato per chi finisce nel mirino è uno smartphone che crasha senza un motivo apparente.

Durante i test, i ricercatori hanno visto che inviando 20 SMS corrotti allo smartphone della vittima il dispositivo resta bloccato in un bootloop infinito. Si riavvia ogni 90 secondi circa nella modalità di ricovero. A quel punto, per riprenderne il controllo, è necessario un reset alle impostazioni di fabbrica.

La buona notizia è che i dispositivi con le patch di sicurezza di ottobre sono al sicuro. Google ha incluso il fix nel pacchetto destinato alle versioni del sistema operativo dalla 14 alla 17. La cattiva è che al momento l'aggiornamento ha raggiunto pochi apparecchi: secondo Punto Informatico, la mancanza di aggiornamenti puntuali resta il punto debole più grande della piattaforma.

Non ho provato la falla su un telefono: i dati su crash, bootloop e reset arrivano dai ricercatori citati da Punto Informatico. Quello che resta da capire è quanto rapidamente il fix di ottobre arrivi sui dispositivi in circolazione, considerando che copre le versioni dalla 14 alla 17.