SMS della morte: un SMS invisibile manda in crash Android

Un solo SMS, che non compare nella casella dei messaggi e non chiede nessuna azione a chi lo riceve, basta per far terminare il processo che gestisce la telefonia di Android, interrompere le chiamate in corso, anche quelle verso i numeri d’emergenza, e, se ripetuto, rendere lo smartphone inutilizzabile. La vulnerabilità, soprannominata «SMS of Death» e tracciata come CVE-2026-58882, è stata documentata da un ricercatore indipendente, che ha pubblicato anche un exploit dimostrativo. Ne hanno scritto heise Security (30 ottobre), BleepingComputer (31 ottobre) e Security Affairs (1° novembre).

Cosa è successo

Secondo il ricercatore, citato da BleepingComputer, Google ha corretto il difetto con gli aggiornamenti di sicurezza di ottobre 2026 per Android 14, 15, 16 e 17, anche se la correzione non compariva nel bollettino di ottobre. Security Affairs riporta invece un messaggio di GrapheneOS del 29 ottobre secondo cui la CVE ha gravità critica nel bollettino di sicurezza Android di novembre 2026. Su Android 12 e 13, dove secondo il ricercatore il codice vulnerabile è presente, la correzione non è arrivata: questi dispositivi restano esposti.

Con l’exploit pubblico l’attacco non richiede competenze particolari: secondo BleepingComputer il codice dimostrativo invia i messaggi malevoli da un altro dispositivo Android.

Dettagli tecnici

Il difetto è nel componente WapPushOverSms del framework di telefonia di Android (frameworks/opt/telephony), che interpreta i messaggi WAP Push: SMS binari elaborati in automatico dal sistema, senza intervento dell’utente.

• Causa: la funzione decodeWapPdu() legge la lunghezza dell’intestazione WSP, codificata come uintvar, in un valore a 64 bit e la converte in un intero con segno a 32 bit senza controllarne l’intervallo.
• Innesco: un uintvar di 5 byte (88 80 80 80 00) vale 0x80000000, che come intero con segno a 32 bit diventa -2147483648. L’allocazione di un array di quella dimensione genera una NegativeArraySizeException non gestita sul thread principale della telefonia e termina il processo com.android.phone.
• Vettore: un SMS dati verso la porta WAP Push 2948; secondo BleepingComputer l’intero messaggio è di otto byte. Viene elaborato prima di arrivare alla casella degli SMS: niente notifica e nessun mittente visibile.
• Effetto di un singolo messaggio: secondo l’analisi riportata da Security Affairs, ogni elaborazione interrompe il servizio telefonico per uno o due secondi, mentre il componente si riavvia; le chiamate in corso cadono.
• Persistenza: il messaggio può restare nella coda degli SMS in arrivo ed essere rielaborato, e i nuovi tentativi di consegna dell’operatore ripetono il crash. Il ricercatore riferisce crash intermittenti fino a una settimana dopo un solo messaggio. Con una ventina di messaggi il telefono può entrare in un ciclo di riavvii: su un dispositivo Android 12, scrive BleepingComputer, il telefono si riavviava in modalità di ripristino circa ogni 90 secondi e si è dovuto riportare alle impostazioni di fabbrica.
• Dispositivi provati: secondo Security Affairs il problema è riproducibile su Google Pixel 9 e su smartphone Samsung delle famiglie Galaxy e Galaxy A.

Non c’è esecuzione di codice né furto di dati: il bersaglio è la disponibilità del servizio telefonico. Nella matrice Mobile di MITRE ATT&CK l’effetto rientra nella tattica Impact, tecnica T1464 (Network Denial of Service).

La correzione di Google, intitolata «Fix remote DoS in decodeWapPdu», intercetta le eccezioni generate dai messaggi malformati ed elimina i messaggi malevoli dal database degli SMS, così che non provochino altri crash.

Impatto per le aziende

Per un’azienda il rischio non è la perdita di dati ma la reperibilità. Chi conosce il numero di un telefono aziendale può far cadere le chiamate o, con più messaggi, renderlo inutilizzabile per giorni, senza lasciare tracce visibili all’utente. Contano soprattutto:

• i telefoni dei reperibili, dei tecnici sul campo e dei responsabili che devono essere raggiungibili durante un incidente;
• la sanità e i servizi di emergenza, dove una chiamata interrotta o un medico irraggiungibile hanno conseguenze dirette, tanto più che il difetto colpisce anche le chiamate ai numeri d’emergenza;
• i dispositivi Android 12 e 13 ancora in uso, che secondo le fonti non hanno ricevuto la correzione.

Per i soggetti NIS2 la gestione dei dispositivi mobili rientra nelle misure su inventario degli asset e vulnerabilità: telefoni senza aggiornamenti in ruoli critici sono un rischio da documentare e trattare.

Cosa fare subito

1. Controlla il livello di patch di tutti i dispositivi Android aziendali, dalla console di gestione dei dispositivi mobili o da Impostazioni › Sicurezza. Secondo il ricercatore serve almeno l’aggiornamento di ottobre 2026; verifica anche il bollettino di novembre 2026 indicato da GrapheneOS e le note del produttore, perché la disponibilità degli aggiornamenti dipende da produttore e operatore.
2. Installa e riavvia: gli aggiornamenti possono richiedere un riavvio per completarsi.
3. Sostituisci o riassegna i dispositivi Android 12 e 13 usati da reperibili, personale sanitario e ruoli che devono restare raggiungibili.
4. Prepara il ripristino: un contributore su GitHub ha trovato il modo di eliminare i messaggi malevoli con Android Debug Bridge (ADB), che richiede un computer e competenze tecniche; l’alternativa è il ripristino alle impostazioni di fabbrica. Assicurati che i dati aziendali sui telefoni siano recuperabili.
5. Rileva i sintomi: tratta come sospette le cadute di chiamata ripetute, le perdite di rete ricorrenti e i riavvii in serie segnalati dagli utenti, soprattutto su dispositivi non aggiornati. Puoi anche chiedere al tuo operatore se filtra gli SMS dati WAP Push malformati diretti alla porta 2948.

Ultimo aggiornamento: 1 novembre 2026