Identificata come CVE-2026-58882, la falla è stata ribattezzata SMS of Death dagli studiosi che l’hanno trovata e descritta: un nome che rende bene la portata del problema. Chi la sfrutta riesce a rendere inutilizzabile un telefono Android spedendo un unico messaggio, senza che la persona attaccata debba toccare nulla.
Chi resta nel mirino vede il proprio smartphone bloccarsi all’improvviso, senza una spiegazione apparente. Il malfunzionamento scatta quando il sistema operativo comincia a processare l’SMS, quindi prima che questo finisca nella cartella dei messaggi ricevuti: ogni attività in corso viene troncata, telefonate comprese, anche quelle verso i numeri di emergenza. Un potenziale disastro, e non serve molta fantasia per capirlo.
Come scatta il crash
Al centro del problema c’è una sequenza di byte manipolata ad hoc: contiene un’intestazione WAP Push modificata apposta per bloccare com.android.phone, il processo che gestisce le chiamate. La stringa viene trasmessa come data SMS alla porta 2948.
Quando il software tenta di interpretare la prima parte, il risultato è un valore negativo, pari a -2.147.483.648: la successiva allocazione di memoria provoca un’eccezione che interrompe di colpo le comunicazioni.
Chi è protetto e chi no
Il lato positivo: “Tutti i dispositivi che hanno ricevuto le patch di sicurezza di ottobre sono al sicuro”. Google ha integrato la correzione nel pacchetto pensato per Android dalla versione 14 alla 17. Il rovescio della medaglia è che, per ora, l’aggiornamento ha coperto solo una frazione ridotta dei telefoni: “La mancanza di aggiornamenti puntuali rimane il più grande tallone d’Achille della piattaforma”.
Nelle prove condotte, i ricercatori hanno verificato che “Inviando 20 SMS corrotti lo smartphone resta bloccato in un bootloop infinito con riavvii ogni 90 secondi circa”. A quel punto l’unica via per tornare a usare il telefono è cancellare tutto con un reset alle impostazioni di fabbrica.
