Un ricercatore di sicurezza ha pubblicato un exploit proof-of-concept per una vulnerabilità di Android recentemente corretta, nota come “SMS of Death”. Tracciata come CVE-2026-58882, la falla consente a un aggressore di inviare un messaggio di testo appositamente creato, capace di interrompere la connettività cellulare o di bloccare da remoto il telefono preso di mira.
L’attacco non richiede alcuna interazione da parte del destinatario. Android elabora il messaggio prima che questo raggiunga la casella degli SMS, quindi la vittima potrebbe non ricevere alcuna indicazione visibile di ciò che ha causato il malfunzionamento. Il blocco può interrompere le chiamate in corso, comprese quelle di emergenza.
Secondo il ricercatore Mark Blah, la vulnerabilità deriva da una convalida impropria di un valore relativo alla lunghezza dell’header nella funzione WapPushOverSms.decodeWapPdu di Android. Un messaggio WAP Push malformato di otto byte, inviato come SMS dati alla porta 2948, può essere interpretato come il valore signed a 32 bit -2147483648. Android tenta quindi di allocare memoria usando quel valore negativo, generando una NegativeArraySizeException nel processo com.android.phone.
Poiché tale processo gestisce le funzioni cellulari, il malfunzionamento può disconnettere le chiamate e interrompere il servizio mobile. Il ricercatore ha inoltre scoperto che l’elaborazione ripetuta o la riconsegna dei messaggi dannosi può causare ulteriori arresti anomali. Nei test, 20 messaggi hanno lasciato alcuni telefoni in cicli di riavvio. Un dispositivo Android 12 è entrato in modalità di ripristino circa ogni 90 secondi e per recuperarlo è stato necessario un ripristino alle impostazioni di fabbrica.
Blah ha dichiarato che Google ha risolto il problema negli aggiornamenti di sicurezza di ottobre 2026 per le versioni di Android dalla 14 alla 17. Tuttavia, la vulnerabilità non sembra comparire nel bollettino di sicurezza di Google di ottobre, e i dispositivi Android 12 e 13 restano esposti se non hanno ricevuto la correzione.
La patch di Google, intitolata “Fix remote DoS in decodeWapPdu”, intercetta le eccezioni generate durante l’elaborazione dei messaggi malformati. Inoltre, rimuove i messaggi dannosi dal database degli SMS per impedire ulteriori arresti anomali.
Un contributore di GitHub ha individuato un metodo per rimuovere i messaggi tramite Android Debug Bridge, sebbene tale approccio richieda un computer e conoscenze tecniche più avanzate. Il proof of concept pubblicato di recente può inviare i messaggi dannosi da un altro dispositivo Android.
Gli aggiornamenti di sicurezza di Android vengono generalmente installati automaticamente sui telefoni supportati, ma la distribuzione dipende dal produttore del dispositivo e dall’operatore, e potrebbe essere necessario un riavvio per completare l’installazione. Agli utenti viene consigliato di installare gli ultimi aggiornamenti di sicurezza disponibili, soprattutto ora che è stato pubblicato un exploit funzionante.
Fonti: BleepingComputer.