Une vulnérabilité Android critique, suivie sous la référence CVE-2026-58882, peut permettre à un attaquant de faire planter un téléphone à distance en envoyant un message SMS spécialement conçu. L’exploitation ne nécessite aucune interaction de la part du destinataire, notamment pas l’ouverture du message.

Le chercheur en sécurité Mark Blah a décrit le problème comme une vulnérabilité de déni de service sans clic requis et l’a surnommée « SMS de la mort ». La faille concerne une validation incorrecte d’une valeur de longueur d’en-tête dans la fonction WapPushOverSms.decodeWapPdu d’Android. Un message WAP Push malformé de huit octets envoyé vers le port 2948 peut amener Android à traiter une valeur négative d’allocation mémoire, ce qui déclenche une erreur faisant planter le processus com.android.phone.

Comme ce processus gère les fonctions cellulaires, un appareil concerné peut perdre sa connectivité mobile et interrompre les appels. La vulnérabilité peut également affecter la connectivité d’urgence. Android traite ces messages avant qu’ils n’atteignent la boîte de réception ; les victimes peuvent donc ne recevoir aucune notification ni indication qu’un SMS est à l’origine de la perturbation.

Les tentatives répétées de livraison effectuées par certains opérateurs, ainsi que les efforts continus d’Android pour traiter les messages stockés sur l’appareil, peuvent prolonger le problème. Blah a constaté que l’envoi de 20 messages malveillants ou plus pouvait forcer un appareil à redémarrer en boucle. Sous Android 12, le téléphone pouvait entrer dans un mode de récupération répété, un retour aux paramètres d’usine pouvant alors constituer le seul remède pratique.

Google a d’abord identifié le problème sur plusieurs versions d’Android et a corrigé les éditions prises en charge d’Android 14 à Android 17. Le correctif, inclus dans les mises à jour de sécurité Android d’octobre 2026, intercepte les exceptions générées lors du traitement de messages malformés et supprime ces messages de la base de données SMS afin d’empêcher les plantages répétés.

Cependant, les appareils arrivés en fin de vie ne recevront pas le correctif et resteront définitivement exposés. Les fabricants Android distribuent également les mises à jour selon des calendriers différents ; les utilisateurs doivent donc installer les mises à jour de sécurité disponibles dès que possible.

Un code de preuve de concept pour la vulnérabilité a été publié. Il existe une méthode permettant de supprimer le message malveillant à l’aide d’Android Debug Bridge, mais celle-ci nécessite des connaissances techniques et la connexion de l’appareil à un ordinateur.

Sources: TechRadar.