Non appare nella casella dei messaggi, non fa squillare il telefono e non richiede alcun tocco: basta che arrivi. Il bersaglio non è il furto di informazioni, ma il semplice sabotaggio del dispositivo. Il fenomeno prende il nome di SMS of Death ed è una falla di sicurezza di Android, registrata come CVE-2026-58882. Un ricercatore l’ha divulgata a fine ottobre, accompagnandola con un’applicazione dimostrativa su GitHub.
Come agisce l’attacco
Il problema coinvolge i messaggi WAP Push, SMS di servizio che il sistema gestisce in autonomia. Basta un pacchetto costruito ad arte, lungo solo otto byte, per far crollare com.android.phone, il processo responsabile della rete mobile. La connessione scompare per qualche secondo e la chiamata in corso si interrompe, comprese quelle verso i numeri d’emergenza. La vittima non deve fare nulla: all’aggressore serve soltanto il numero di telefono.
Secondo le prove del ricercatore, riportate da BleepingComputer, circa venti messaggi possono bastare a far entrare lo smartphone in un ciclo infinito di riavvii. Su un apparecchio con Android 12 è stato necessario il ripristino di fabbrica. Il telefono, dunque, non resta inutilizzabile per sempre: il danno concreto è la perdita dei dati privi di backup. Esiste pure una procedura tramite ADB, da computer, per eliminare i messaggi dannosi, ma richiede competenze tecniche.
Chi è a rischio
Più del modello, conta la versione del sistema operativo. Google ha giudicato il difetto critico nel bollettino di sicurezza di novembre, rilasciando correzioni per Android 14, 15, 16 e 17. Secondo il ricercatore, la modifica al codice era già stata integrata negli aggiornamenti di ottobre. Ad ogni modo, il riferimento ufficiale è una patch di sicurezza datata 1° novembre 2026 o più recente, visibile nelle impostazioni (il percorso varia da marchio a marchio).
Restano molto vulnerabili Android 12 e 13, esclusi dalla correzione. Chi possiede uno smartphone ancora efficiente ma non più aggiornato, per ora non ha una soluzione ufficiale a disposizione.