Un chercheur en sécurité a publié un exploit de preuve de concept visant une vulnérabilité Android récemment corrigée, connue sous le nom de « SMS of Death ». Répertoriée sous l’identifiant CVE-2026-58882, cette faille permet à un attaquant d’envoyer un SMS spécialement conçu susceptible de perturber la connectivité cellulaire ou de faire planter à distance le téléphone ciblé.
L’attaque ne nécessite aucune interaction de la part du destinataire. Android traite le message avant qu’il n’atteigne la boîte de réception SMS, de sorte que la victime peut ne recevoir aucune indication visible de ce qui a déclenché le problème. Le plantage peut interrompre les appels en cours, y compris les appels d’urgence.
Selon le chercheur Mark Blah, la vulnérabilité résulte d’une validation incorrecte d’une valeur indiquant la longueur d’un en-tête dans la fonction WapPushOverSms.decodeWapPdu d’Android. Un message WAP Push malformé de huit octets, envoyé sous forme de SMS de données vers le port 2948, peut être interprété comme la valeur signée -2147483648 sur 32 bits. Android tente alors d’allouer de la mémoire en utilisant cette valeur négative, ce qui déclenche une NegativeArraySizeException dans le processus com.android.phone.
Comme ce processus gère les fonctions cellulaires, le problème peut déconnecter les appels et interrompre le service mobile. Le chercheur a également constaté que le traitement répété ou la nouvelle livraison des messages malveillants pouvait provoquer d’autres plantages. Lors des tests, 20 messages ont laissé certains téléphones dans des boucles de redémarrage. Un appareil Android 12 est entré en mode de récupération environ toutes les 90 secondes et a nécessité une réinitialisation d’usine pour être rétabli.
Blah a indiqué que Google avait corrigé le problème dans ses mises à jour de sécurité d’octobre 2026 pour les versions 14 à 17 d’Android. Toutefois, la vulnérabilité ne semble pas figurer dans le bulletin de sécurité d’octobre de Google, et les appareils sous Android 12 et 13 restent exposés s’ils n’ont pas reçu le correctif.
Le correctif de Google, intitulé « Fix remote DoS in decodeWapPdu », intercepte les exceptions générées lors du traitement des messages malformés. Il supprime également les messages malveillants de la base de données SMS afin d’empêcher des plantages répétés.
Un contributeur de GitHub a identifié une méthode permettant de supprimer les messages au moyen d’Android Debug Bridge, bien que cette approche nécessite un ordinateur et des connaissances techniques plus avancées. La preuve de concept récemment publiée peut envoyer les messages malveillants depuis un autre appareil Android.
Les mises à jour de sécurité Android sont généralement installées automatiquement sur les téléphones pris en charge, mais leur distribution dépend du fabricant de l’appareil et de l’opérateur, et un redémarrage peut être nécessaire pour terminer l’installation. Il est recommandé aux utilisateurs d’installer les dernières mises à jour de sécurité disponibles, en particulier maintenant qu’un exploit fonctionnel a été publié.
Sources: BleepingComputer.