Android, un SMS invisibile può bloccare lo smartphone: scoperta la falla SMS of Death
Il tuo smartphone Android potrebbe perdere improvvisamente la connessione telefonica, interrompere una chiamata in corso o riavviarsi senza che tu abbia toccato nulla. A provocare il problema potrebbe bastare un SMS invisibile, appositamente modificato. È il meccanismo alla base di SMS of Death, una vulnerabilità identificata come CVE-2026-58882 che interessa il sistema con cui Android gestisce determinati messaggi di servizio.
La falla è particolarmente delicata perché non richiede alcuna interazione: non devi aprire un link, installare un’app o leggere un messaggio sospetto. In alcuni casi può perfino interrompere le chiamate ai numeri di emergenza. Google ha già sviluppato una correzione, ma la sua distribuzione sui diversi smartphone dipende dagli aggiornamenti ricevuti da ciascun dispositivo.
Come funziona SMS of Death: l’attacco che non compare nei messaggi
La vulnerabilità sfrutta il sistema WAP Push, utilizzato per trasmettere particolari messaggi tecnici attraverso la rete cellulare. A differenza di un normale SMS, questi dati vengono elaborati automaticamente dal sistema operativo e possono non comparire nella casella dei messaggi ricevuti.
Il ricercatore di sicurezza Mark Blaszczyk ha individuato un errore nella gestione della lunghezza di un’intestazione all’interno della funzione Android WapPushOverSms.decodeWapPdu. Un messaggio costruito in modo anomalo può provocare un’eccezione software non gestita, causando l’arresto del processo com.android.phone, fondamentale per le comunicazioni cellulari.
Il risultato è un attacco definito zero-click: il dispositivo elabora il messaggio prima ancora che l’utente possa accorgersene. La vittima può quindi notare soltanto una chiamata caduta, una breve perdita di rete o un riavvio apparentemente inspiegabile.
Un SMS può interrompere anche le chiamate di emergenza
Quando il processo telefonico di Android si arresta, le funzioni cellulari possono interrompersi per circa uno o due secondi, il tempo necessario al sistema per tentare il ripristino. Questo intervallo può essere sufficiente a far cadere una telefonata, comprese le chiamate verso i servizi di emergenza.
La situazione può peggiorare quando il gestore telefonico tenta di consegnare nuovamente un messaggio non elaborato correttamente. In quel caso il dispositivo potrebbe entrare in una sequenza di blocchi ripetuti. Durante le prove del ricercatore, l’invio di circa 20 messaggi malevoli è stato sufficiente, in determinate condizioni, a provocare un ciclo continuo di riavvii.
Su uno smartphone Android 12 sottoposto ai test, il problema è diventato così persistente da richiedere il ripristino del dispositivo. Sono state descritte anche procedure tecniche di recupero attraverso Android Debug Bridge, ma non sono interventi alla portata di tutti e possono richiedere l’assistenza di un esperto.
Leggi anche:
Quali smartphone Android sono vulnerabili?
Il problema non è legato esclusivamente a un marchio. La falla è stata riprodotta su dispositivi Google Pixel e Samsung Galaxy, ma il rischio dipende soprattutto dalla versione del sistema operativo e dalla presenza della correzione di sicurezza.
Secondo le informazioni pubblicate dal ricercatore e ricostruite dalle testate specializzate, la correzione è stata distribuita nell’ambito degli aggiornamenti di ottobre 2026 per Android 14, 15, 16 e 17. La situazione resta più delicata per i dispositivi con Android 12 e Android 13, soprattutto quando il produttore non fornisce più aggiornamenti di sicurezza.
La vulnerabilità non compare esplicitamente nel bollettino Android di ottobre, nonostante la presenza della correzione nel codice. Le ricostruzioni disponibili indicano che potrebbe essere documentata formalmente nel bollettino di novembre. Per questo non basta conoscere il numero della versione Android: è importante verificare gli aggiornamenti effettivamente installati sul proprio modello.
Google aveva già sviluppato una correzione
Il ricercatore aveva segnalato il problema a Google il 5 maggio 2026. Secondo la ricostruzione pubblica, l’azienda avrebbe inizialmente considerato la segnalazione non classificabile come problema di sicurezza. Tuttavia, le modifiche al codice mostrano che una correzione era già stata preparata a giugno.
La soluzione interviene sulla gestione dei messaggi malformati, impedendo che un errore nella loro elaborazione faccia arrestare il processo telefonico. Prevede inoltre la rimozione dei messaggi problematici per evitare che continuino a provocare nuovi blocchi.
Il 29 ottobre 2026 il ricercatore ha pubblicato i risultati dell’analisi e una dimostrazione del problema. La disponibilità di una dimostrazione funzionante rende ancora più importante installare le patch, ma non equivale alla prova che siano in corso attacchi diffusi contro gli utenti Android.
Come proteggere il tuo smartphone Android
La precauzione principale è installare l’ultimo aggiornamento di sicurezza disponibile. Apri le Impostazioni del telefono, cerca la sezione relativa agli aggiornamenti di sistema e verifica la data dell’ultima patch. La posizione esatta cambia a seconda del produttore: su alcuni modelli si trova in Sicurezza e privacy, su altri in Aggiornamento software.
Se il tuo telefono utilizza Android 12 o 13 e non riceve più aggiornamenti, controlla se il produttore ha previsto una correzione specifica. In assenza di supporto, valuta con attenzione la sicurezza del dispositivo, soprattutto se lo utilizzi come unico mezzo per effettuare chiamate importanti.
È utile chiarire anche cosa non risolve il problema: cancellare gli SMS sospetti, bloccare numeri sconosciuti o evitare di aprire link non basta, perché l’attacco avviene durante l’elaborazione automatica di un messaggio che può essere invisibile all’utente. La protezione più efficace resta quindi una patch del sistema operativo.
Infine, SMS of Death è principalmente una vulnerabilità di interruzione del servizio, non un metodo dimostrato per rubare foto, password o conversazioni. Il pericolo più concreto è perdere la possibilità di telefonare proprio quando serve. È un motivo sufficiente per non rimandare gli aggiornamenti.
Ti potrebbe interessare:
Segui guruhitech su:
- Google News: bit.ly/gurugooglenews
- Telegram: t.me/guruhitech
- Facebook: facebook.com/guruhitechfb
- Instagram: instagram.com/guruhitech_official/
- X (Twitter): x.com/guruhitech1
- Bluesky: bsky.app/profile/guruhitech.bsky.social
- Rumble: rumble.com/user/guruhitech
- VKontakte: vk.com/guruhitech
- MeWe: mewe.com/i/guruhitech
- Skype: live:.cid.d4cf3836b772da8a
- WhatsApp: bit.ly/whatsappguruhitech
Esprimi il tuo parere!
Che ne pensi di questa notizia? Lascia un commento nell’apposita sezione che trovi più in basso e se ti va, iscriviti alla newsletter.
Per qualsiasi domanda, informazione o assistenza nel mondo della tecnologia, puoi inviare una email all’indirizzo [email protected].
Scopri di più da GuruHiTech
Abbonati per ricevere gli ultimi articoli inviati alla tua e-mail.