Foto di freestocks.

Basta ricevere un singolo SMS appositamente costruito per mandare in crisi uno smartphone Android; non serve aprire il messaggio, toccare un collegamento o scaricare un allegato: l'attacco si attiva automaticamente durante l'elaborazione da parte del sistema operativo e può interrompere chiamate in corso, comprese quelle ai servizi di emergenza, fino a provocare cicli continui di arresti e riavvii del dispositivo. La vulnerabilità è stata soprannominata SMS of Death (SMS della morte) dal ricercatore Mark Blaszczyk ed è identificata come CVE-2026-58882. Il problema era stato segnalato a Google già il 5 maggio 2026 e divulgato pubblicamente il 29 ottobre, dopo che il ricercatore è riuscito a riprodurlo su diversi dispositivi, inclusi smartphone delle famiglie Pixel e Galaxy.

Il difetto non consente di sottrarre dati personali, fotografie o credenziali di accesso. Si tratta invece di un attacco di negazione del servizio, il cui scopo è compromettere le funzionalità telefoniche del dispositivo. L'effetto immediato è l'arresto anomalo del processo di sistema responsabile della gestione della rete cellulare e delle chiamate vocali. All'origine del problema vi è la gestione dei messaggi WAP Push, una tecnologia utilizzata da anni nelle reti mobili per trasmettere certe comunicazioni di servizio. Questi messaggi vengono elaborati direttamente dal sottosistema telefonico di Android e possono non comparire affatto nell'applicazione dei messaggi. Di conseguenza, la vittima può non avere alcuna indicazione dell'avvenuta ricezione del contenuto malevolo, a parte naturalmente il fatto che il telefono smette di funzionare.

L'analisi tecnica pubblicata dal ricercatore individua la falla nel componente WapPushOverSms del framework di telefonia Android. A causa di un controllo insufficiente su un parametro relativo all'intestazione del messaggio, il sistema può generare un'eccezione non gestita che provoca la chiusura del processo com.android.phone. Quando questo avviene, la connessione cellulare viene temporaneamente interrotta e le telefonate attive cadono immediatamente. Una delle caratteristiche più rilevanti della vulnerabilità è la sua natura zero-click. Come scrive il ricercatore, «un singolo SMS WAP Push manda in crash com.android.phone su Android, interrompendo le chiamate attive, comprese quelle di emergenza, senza alcuna interazione da parte della vittima».

I test condotti mostrano che il problema non si limita a un singolo arresto temporaneo. Se il messaggio non viene elaborato correttamente, può essere nuovamente consegnato dall'operatore telefonico oppure rimanere nella coda interna del sistema ed essere riprocessato dopo il riavvio: questo comportamento può innescare una sequenza di arresti ripetuti che rende il telefono sempre meno utilizzabile. Secondo la documentazione pubblicata, circa venti messaggi sono risultati sufficienti per compromettere pesantemente il funzionamento di alcuni dispositivi. Su Android 12 il ricercatore ha osservato scenari particolarmente gravi, con cicli continui di riavvio che potevano portare il sistema nella modalità di ripristino. In tali condizioni un utente privo di competenze tecniche potrebbe arrivare a considerare il ripristino alle impostazioni di fabbrica come unica soluzione praticabile.

Leggi anche:

Da TeamGroup l'SSD che si distrugge con un SMS

Microsoft abbandona gli SMS: passkey e biometria diventano lo standard

La truffa del pedaggio fantasma: falsi SMS di Autostrade rubano dati e carte di ...

Attenzione al falso SMS dell'ASL: è una truffa che ruba dati e denaro

Esiste una procedura di recupero alternativa basata su Android Debug Bridge (ADB), che consente di eliminare i messaggi problematici direttamente dalla memoria del dispositivo. Tuttavia richiede l'uso di un computer e conoscenze tecniche non comuni, motivo per cui non rappresenta una soluzione immediatamente accessibile alla maggior parte degli utenti. Le informazioni pubblicate indicano inoltre che il codice vulnerabile è presente nelle versioni Android dalla 12 alla 17, anche se non tutti i sistemi risultano oggi esposti allo stesso modo. Google ha sviluppato una correzione nel corso del 2026 e la modifica è stata integrata negli aggiornamenti di sicurezza distribuiti a ottobre per Android 14, 15, 16 e 17. La soluzione adottata impedisce che l'eccezione provochi arresti continui del servizio telefonico e rimuove il messaggio responsabile del malfunzionamento, evitando che venga elaborato nuovamente dopo il riavvio del dispositivo.

La situazione è diversa per Android 12 e Android 13. Poiché queste versioni sono ormai fuori dalla finestra ordinaria di supporto di sicurezza, la correzione non risulta distribuita a livello generale. Di conseguenza, numerosi dispositivi meno recenti potrebbero rimanere vulnerabili, a meno che i produttori non decidano di rilasciare aggiornamenti specifici. Al momento non risultano campagne di sfruttamento su larga scala né casi confermati di attacchi reali contro utenti Android. Tuttavia la pubblicazione di una dimostrazione funzionante del difetto e del relativo codice di prova ha aumentato l'attenzione della comunità di sicurezza informatica, che raccomanda di installare tempestivamente gli aggiornamenti di sicurezza disponibili e verificare il livello delle patch installate sul proprio dispositivo.

Consigliamo la lettura di:

Gli SMS di autenticazione segreti non sono affatto segreti: meglio abbandonarli

WhatsApp, ecco perché stai ricevendo un messaggio che ti chiede di aggiunge...

Gmail, addio agli SMS per l'autenticazione a due fattori

iPhone, gli SMS di emergenza via satellite arrivano anche in Italia