Si chiama SMS of Death la vulnerabilità di Android scoperta dal ricercatore di sicurezza Mark Blaszczyk e resa pubblica il 29 ottobre. Un messaggio di testo costruito ad arte, che non compare nella casella e non genera notifiche, manda in crash il componente che gestisce le chiamate e interrompe anche quelle ai servizi di emergenza. Secondo Blaszczyk, circa 20 messaggi bastano a spingere il telefono in un ciclo di riavvii. Google aveva già sviluppato una correzione il 15 giugno, ma la segnalazione di maggio era stata respinta.[1][2][3]
In breve
- Un SMS invisibile fa crollare il servizio di chiamata, emergenze comprese, e può bloccare il telefono
- La falla riguarda il codice presente da Android 12 ed è stata riprodotta su Pixel e Galaxy
- Google aveva respinto la segnalazione del 5 maggio pur avendo una patch del 15 giugno
- La correzione è nelle patch di ottobre per Android 14-17, mentre il bollettino pubblico è atteso a novembre
Che cosa fa l’SMS of Death al telefono?
Il meccanismo è semplice da descrivere e sgradevole da subire: il messaggio malevolo non viene mostrato, ma Android non riesce a elaborarlo correttamente. A cedere è il componente software che gestisce le telefonate, quindi ogni conversazione in corso si interrompe all’istante, comprese le chiamate ai numeri di emergenza, come segnalano SmartWorld e TuttoAndroid.[1][2]
Il danno però non si esaurisce con una chiamata caduta. Android continua a tentare di elaborare lo stesso messaggio e produce crash ripetuti. Secondo Blaszczyk, una ventina di SMS di questo tipo rendono lo smartphone praticamente inutilizzabile, intrappolato in riavvii continui. Anche il ripristino di fabbrica può non bastare, se l’operatore reinvia i messaggi. Per uscirne occorre collegare il telefono a un computer e cancellare a mano gli SMS, operazione fuori dalla portata di molti.[1][2][3]
Quali telefoni sono a rischio?
Il ricercatore ha riprodotto l’attacco su Google Pixel e Samsung Galaxy, e il codice vulnerabile risale ad Android 12. SmartWorld indica come potenzialmente esposti i dispositivi aggiornati a partire da quella versione che non abbiano ancora ricevuto la patch.[1][2]
Diverso è il destino dei telefoni più vecchi: i modelli che non ricevono più aggiornamenti di sicurezza restano vulnerabili, come segnala SmartWorld, mentre GizChina richiama l’attenzione sul rischio per i dispositivi datati o non aggiornati. La falla è catalogata come CVE-2026-58882, con gravità critica.[1][3]
Perché Google aveva respinto la segnalazione?
La parte più imbarazzante della vicenda riguarda i tempi. Blaszczyk dice di aver avvisato Google il 5 maggio, ma l’azienda avrebbe più volte classificato il problema come estraneo alla sicurezza. Deluso, il ricercatore ha pubblicato la scoperta il 29 ottobre insieme a una dimostrazione funzionante.[1][2][3]
Eppure, dietro le quinte, il lavoro era già stato fatto. I registri del codice sorgente di Android mostrano una correzione sviluppata il 15 giugno: invece di andare in crash, il sistema gestisce l’errore e rimuove il messaggio. GrapheneOS ha precisato su X che la fix era già nelle anteprime di sicurezza a luglio. Per spiegare lo scarto è stata ipotizzata una comunicazione interna mancata, forse una segnalazione duplicata.[1][2][3]
Quando arriva la correzione sul mio telefono?
Le indicazioni sui tempi non coincidono del tutto. Secondo Blaszczyk la patch è già negli aggiornamenti di sicurezza di ottobre per Android dalla versione 14 alla 17, mentre GrapheneOS indica che la vulnerabilità sarà riportata nel bollettino di novembre.[2][3]
Sul piano pratico, la distribuzione dipende dal singolo marchio. TuttoAndroid ricorda che i produttori possono ricevere le correzioni prima del bollettino pubblico e che l’arrivo effettivo sugli smartphone varia da un aggiornamento all’altro. Per il proprio dispositivo conviene installare l’ultimo aggiornamento di sicurezza disponibile.[1][2]
In sintesi
- Tirando le fila, il quadro è questo. La vicenda mostra una falla critica, la CVE-2026-58882, già corretta da Google il 15 giugno ma rifiutata come segnalazione il 5 maggio e resa pubblica solo il 29 ottobre. Circa 20 SMS bastano, secondo Blaszczyk, a bloccare un telefono con codice da Android 12 in poi. La patch è nei bollettini di ottobre per Android 14-17 secondo il ricercatore, mentre GrapheneOS parla del bollettino di novembre.[1][2][3]
Fonti
- SmartWorld: SMS of Death: la falla Android che può bloccare il telefono con un semplice SMS e che Google non riteneva grave
- TuttoAndroid (API): SMS of Death: Google ha corretto la falla, ma non è chiaro quando tutti gli smartphone saranno protetti
- GizChina: L’SMS della morte rende inutilizzabili gli smartphone Android non aggiornati
Lascia un commento