Android, un SMS invisibile può bloccare lo smartphone: aggiorna subito
Un messaggio di testo invisibile può interrompere le chiamate, far perdere temporaneamente il segnale cellulare e, in determinate condizioni, provocare crash ripetuti su uno smartphone Android. La vulnerabilità è stata soprannominata SMS of Death ed è identificata come CVE-2026-58882. La particolarità è che non devi aprire alcun link, leggere il messaggio o installare un’app: il problema si attiva mentre il sistema operativo elabora automaticamente un messaggio appositamente manipolato.
Il ricercatore di sicurezza Mark Blaszczyk ha documentato il difetto e pubblicato una dimostrazione del suo funzionamento. Google ha preparato una correzione e la vulnerabilità compare nel bollettino di sicurezza Android di novembre 2026. La disponibilità della patch, però, dipende dagli aggiornamenti distribuiti dai produttori: ecco cosa succede e come controllare se il tuo telefono è protetto.
Cos’è SMS of Death e perché non compare tra i messaggi
SMS of Death sfrutta un problema nel componente di Android che gestisce i messaggi WAP Push. Sono comunicazioni di servizio che possono essere elaborate dal sistema in background, prima di arrivare alla normale applicazione SMS. Per questo la persona che riceve il messaggio potrebbe non vedere né una notifica né una conversazione sospetta.
L’attacco è definito zero-click: non richiede che tu tocchi lo schermo, apra un allegato o autorizzi un’operazione. È sufficiente che il dispositivo vulnerabile riceva e tenti di interpretare il messaggio malevolo.
Il difetto si trova nella gestione di alcune informazioni relative alla lunghezza dei dati all’interno del componente WapPushOverSms. Un valore anomalo può provocare un’eccezione non gestita e arrestare il processo di sistema com.android.phone, responsabile di funzioni essenziali della telefonia.
Cosa succede allo smartphone quando arriva l’SMS invisibile
Quando il processo telefonico va in crash, il telefono può perdere per alcuni istanti la connessione alla rete mobile. Una chiamata già avviata può interrompersi e, durante il malfunzionamento, può diventare impossibile effettuarne una nuova. Questo vale anche per le chiamate ai numeri di emergenza, un aspetto che rende il problema particolarmente serio.
Normalmente Android tenta di riavviare il servizio. Tuttavia, se il messaggio viene nuovamente consegnato dall’operatore oppure rimane nella coda dei messaggi da elaborare, il sistema può tentare di processarlo ancora, causando un altro arresto.
Nei test pubblicati dal ricercatore, l’invio di più messaggi manipolati ha provocato interruzioni ripetute e, su alcuni dispositivi, cicli di riavvio. Non significa che qualsiasi telefono vulnerabile si blocchi definitivamente dopo un solo SMS: gli effetti dipendono dal dispositivo, dal software installato e dal comportamento della rete.
Quali versioni Android sono coinvolte
La vulnerabilità è stata osservata su più generazioni del sistema operativo, con prove effettuate su dispositivi Google Pixel e Samsung Galaxy. Il codice interessato è presente anche in versioni Android meno recenti.
Il bollettino Android di novembre 2026 identifica CVE-2026-58882 come vulnerabilità critica di tipo denial-of-service nel componente System e indica correzioni per Android 14, 15, 16 e 17, comprese le varianti supportate riportate nel bollettino.
La situazione è più delicata per chi utilizza Android 12 o Android 13: queste versioni non risultano incluse nella correzione AOSP distribuita per le release più recenti. Un produttore potrebbe introdurre un intervento specifico per un proprio modello, ma non è corretto presumere che tutti i dispositivi più vecchi siano protetti.
Inoltre, la versione Android da sola non basta per stabilire se il tuo smartphone è al sicuro. Conta anche il livello di patch effettivamente installato e l’eventuale integrazione della correzione da parte del produttore.
Leggi anche:
Google ha corretto il problema: quale aggiornamento installare
Google ha sviluppato una modifica che impedisce all’errore di arrestare il processo telefonico e consente di scartare il messaggio difettoso, evitando che venga elaborato ripetutamente. Sebbene alcune ricostruzioni tecniche collochino la distribuzione del codice già nel ciclo di ottobre, il bollettino ufficiale di novembre 2026 elenca CVE-2026-58882 al livello di patch 2026-11-01.
Per questo la scelta più prudente è installare l’aggiornamento di sicurezza più recente disponibile per il tuo smartphone, verificando le note pubblicate dal produttore. Un dispositivo con patch datata non dovrebbe essere considerato protetto soltanto perché utilizza una versione recente di Android.
Il rilascio degli aggiornamenti può variare tra Pixel, Samsung, Xiaomi e altri marchi, oltre che in base al Paese e all’operatore. Non tutti i telefoni ricevono la stessa patch nello stesso giorno.
Come verificare il livello delle patch sul tuo Android
Apri Impostazioni e cerca la voce Versione Android oppure Informazioni sul telefono. Qui dovresti trovare la data dell’aggiornamento della sicurezza Android. Su molti dispositivi puoi raggiungere la stessa informazione attraverso Impostazioni → Sicurezza e privacy → Aggiornamenti, ma il percorso cambia a seconda dell’interfaccia.
Controlla poi la presenza di nuovi aggiornamenti da Impostazioni → Sistema → Aggiornamento software, oppure dalla sezione dedicata agli aggiornamenti del produttore. Se una patch è disponibile, installala e riavvia il telefono quando richiesto.
Se utilizzi Android 12 o 13 su un modello che non riceve più aggiornamenti, valuta attentamente il rischio: cambiare app per gli SMS non risolve il problema, perché il messaggio viene elaborato dal sistema operativo prima di essere mostrato nell’applicazione.
SMS of Death può rubare password, fotografie o dati personali?
La vulnerabilità descritta è principalmente un problema di denial-of-service, cioè di interruzione del funzionamento di un servizio. Le informazioni tecniche pubblicate non dimostrano che, attraverso questo specifico difetto, un aggressore possa leggere le tue fotografie, ottenere le password o prendere il controllo completo del dispositivo.
È importante distinguere i due scenari: perdere il segnale cellulare o subire un riavvio non equivale a un furto di dati. Il rischio documentato riguarda soprattutto la disponibilità della rete e delle chiamate, con possibili conseguenze serie se hai bisogno di contattare i soccorsi.
La pubblicazione di una dimostrazione tecnica funzionante aumenta l’urgenza di installare gli aggiornamenti, ma non dimostra da sola l’esistenza di una campagna di attacchi su larga scala contro gli utenti.
Cosa fare se il telefono perde il segnale o si riavvia continuamente
Un’interruzione della rete non significa automaticamente che tu abbia ricevuto un SMS malevolo: possono esserci problemi dell’operatore, della SIM, del modem o del software. Se però noti crash ripetuti del servizio telefonico, controlla innanzitutto se esiste un aggiornamento di sicurezza.
Se il dispositivo continua a riavviarsi e non riesci a utilizzarlo, evita di eseguire subito un ripristino di fabbrica, perché potresti perdere dati non salvati. È preferibile contattare l’assistenza del produttore e descrivere i sintomi. Sono state documentate procedure avanzate di recupero tramite ADB, ma richiedono competenze tecniche e non sono adatte a tutti.
In caso di necessità urgente di chiamare i soccorsi, utilizza un altro telefono funzionante se quello interessato non riesce a collegarsi alla rete.
Perché questo problema merita attenzione
SMS of Death dimostra che una tecnologia apparentemente marginale come WAP Push può ancora rappresentare un punto debole dei sistemi moderni. Non serve un’app malevola e non serve convincere l’utente a fare clic: il problema nasce da un messaggio gestito automaticamente dal sistema.
La protezione più importante rimane l’aggiornamento del software. Controlla oggi il livello delle patch, installa gli aggiornamenti disponibili e verifica se il produttore continua a supportare il tuo modello. Uno smartphone che non riceve più correzioni di sicurezza può rimanere esposto anche quando lo utilizzi con attenzione.
Ti potrebbe interessare:
Segui guruhitech su:
- Google News: bit.ly/gurugooglenews
- Telegram: t.me/guruhitech
- Facebook: facebook.com/guruhitechfb
- Instagram: instagram.com/guruhitech_official/
- X (Twitter): x.com/guruhitech1
- Bluesky: bsky.app/profile/guruhitech.bsky.social
- Rumble: rumble.com/user/guruhitech
- VKontakte: vk.com/guruhitech
- MeWe: mewe.com/i/guruhitech
- Skype: live:.cid.d4cf3836b772da8a
- WhatsApp: bit.ly/whatsappguruhitech
Esprimi il tuo parere!
Che ne pensi di questa notizia? Lascia un commento nell’apposita sezione che trovi più in basso e se ti va, iscriviti alla newsletter.
Per qualsiasi domanda, informazione o assistenza nel mondo della tecnologia, puoi inviare una email all’indirizzo [email protected].
Scopri di più da GuruHiTech
Abbonati per ricevere gli ultimi articoli inviati alla tua e-mail.