Il ricercatore di sicurezza Mark Blaszczyk ha reso pubblica il 29 ottobre una vulnerabilità di Android battezzata SMS of Death: un messaggio di testo costruito ad arte, che il telefono non mostra e non notifica, manda in crash il servizio delle chiamate e può interrompere anche quelle ai numeri di emergenza. Con una ventina di messaggi il telefono può restare intrappolato in un ciclo di riavvii. Google aveva già sviluppato una correzione il 15 giugno, ma la protezione arriva ai singoli dispositivi con i tempi dei produttori.[1][2][3]
In breve
- Un SMS invisibile fa andare in crash il servizio chiamate e può bloccare il telefono in un ciclo di riavvii.
- Il codice difettoso risale ad Android 12; riprodotto su Google Pixel e Samsung Galaxy.
- Blaszczyk ha segnalato il problema il 5 maggio, Google lo aveva respinto ma la patch esisteva già.
- Secondo i dati di ottobre, il 56,4% dei dispositivi ha almeno Android 14.
Che cosa fa l’SMS of Death?
L’attacco passa da un normale canale, il messaggio di testo, ma sfrutta un SMS costruito in modo tale che Android non riesce a elaborarlo correttamente. Il messaggio non compare nella casella di posta e non genera notifiche, quindi chi lo riceve non si accorge di nulla. A saltare è il componente software che gestisce le telefonate: il crash interrompe subito le conversazioni in corso, comprese le chiamate ai servizi di emergenza, come riportano SmartWorld, TuttoAndroid e GizChina.[1][2][3]
Il guaio, però, non si esaurisce in un singolo episodio. Android continua infatti a tentare di elaborare lo stesso messaggio, provocando nuovi arresti anomali a ripetizione. Secondo Blaszczyk, circa 20 messaggi di questo tipo bastano a rendere il telefono praticamente inutilizzabile, in un ciclo continuo di riavvii. Nemmeno il ripristino alle impostazioni di fabbrica garantisce la soluzione, perché se l’operatore reinvia i messaggi il problema si ripresenta. Per recuperare il telefono occorre collegarlo a un computer e cancellare a mano gli SMS responsabili, una procedura che pochi utenti saprebbero eseguire.[1][2][3]
Quali telefoni sono esposti?
Il codice vulnerabile è presente fin da Android 12, quindi in teoria tutti i dispositivi aggiornati da quella versione in poi possono essere toccati, a meno che non abbiano già installato la correzione. Blaszczyk ha dimostrato l’attacco su Google Pixel e Samsung Galaxy. I modelli più vecchi, che non ricevono più aggiornamenti di sicurezza, restano invece esposti in modo permanente, come sottolineano SmartWorld e TuttoAndroid.[1][2][3]
E la protezione, a che punto è? La vulnerabilità è catalogata come CVE-2026-58882, con gravità critica. Secondo l’autore della scoperta, la patch è inclusa negli aggiornamenti di sicurezza di ottobre per Android dalla 14 alla 17. Il fix cambia il comportamento del sistema: invece di andare in crash, elimina il messaggio problematico prima che faccia danni. I tempi di arrivo variano da produttore a produttore.[1][3]
Perché Google aveva respinto la segnalazione?
La storia ha anche un risvolto poco lineare, che riguarda le date. Blaszczyk afferma di aver segnalato il problema a Google il 5 maggio e di essersi sentito rispondere più volte che non si trattava di una questione di sicurezza. Frustrato, il 29 ottobre ha reso pubblica la falla con una dimostrazione funzionante. Eppure, stando ai registri del codice citati da GizChina, l’azienda aveva già sviluppato una patch il 15 giugno, ben prima della divulgazione.[1][2][3]
Un altro tassello viene dalla comunità dei sistemi alternativi. Il team di GrapheneOS ha precisato, riferisce GizChina, che la correzione era stata distribuita già a luglio attraverso le anteprime di sicurezza. Anche SmartWorld parla di una diffusione a luglio.[1][3]
Quanti telefoni restano senza protezione?
Per misurare la portata del problema servono i numeri sulla diffusione delle versioni. Le stime di ottobre 2026 condivise dal sito tedesco Heise e riprese da SmartWorld mostrano che il parco Android è molto frammentato. Android 16 guida con il 25,4%, seguito da Android 14 con il 15,3% e Android 15 con il 14,7%. Solo il 56,4% dei dispositivi attivi ha almeno Android 14, cioè una delle versioni per cui la patch di ottobre è indicata.[4][3]
Il confronto con la falla è presto fatto. A conti fatti, Android 13 all’11,8% e Android 12 al 9,6% fanno il 21,4% dei dispositivi: versioni che hanno il codice interessato ma non rientrano tra quelle citate per la patch di ottobre. Si tratta di stime ricavate da Android Studio sui telefoni che hanno contattato il Google Play Store in sette giorni, non di un censimento esatto.[4][3]
In sintesi
Tirando le fila, il punto non è più se la correzione esista. La correzione c’è, sviluppata il 15 giugno e indicata negli aggiornamenti di ottobre per Android dalla 14 alla 17, ma il rischio resta per chi non la riceve. Il codice difettoso parte da Android 12 e circa 20 SMS invisibili bastano a mettere un telefono fuori uso. Con il 56,4% dei dispositivi su Android 14 o successivi, la parte restante dipende dai produttori. Per ora l’indicazione delle fonti è installare l’ultimo aggiornamento di sicurezza disponibile.[1][4][3]
Fonti
- SmartWorld: SMS of Death: la falla Android che può bloccare il telefono con un semplice SMS e che Google non riteneva grave
- TuttoAndroid (API): SMS of Death: Google ha corretto la falla, ma non è chiaro quando tutti gli smartphone saranno protetti
- GizChina: L’SMS della morte rende inutilizzabili gli smartphone Android non aggiornati
- SmartWorld: La frammentazione di Android non è stata sconfitta: un telefono su dieci vive ancora nel 2020
Lascia un commento