Un exploit publié pour la faille Android qui coupe le réseau avec un seul SMS
Un chercheur en sécurité a publié un exploit fonctionnel pour une faille d'Android qui permet à quiconque connaît votre numéro de couper votre téléphone du réseau mobile avec un seul SMS invisible. La vulnérabilité, que le chercheur a baptisée « SMS of Death » et que BleepingComputer référence comme CVE-2026-58882, fait planter le processus système qui gère les appels et les données mobiles, et peut interrompre un appel d'urgence en cours. Google l'a corrigée dans la mise à jour de sécurité Android d'octobre 2026 pour Android 14 à 17. Les téléphones sous Android 12 et 13 ne reçoivent pas ce correctif, rapporte BleepingComputer le 31 octobre.
Comment un seul message coupe un téléphone du réseau
L'attaque utilise WAP Push, un ancien format de SMS que les opérateurs emploient pour envoyer des réglages et des messages de service aux téléphones. Selon l'analyse technique du chercheur Mark B, Android lit une valeur de longueur dans l'en-tête du message et la transforme sans vérification en nombre négatif. Quand le système tente ensuite de réserver une mémoire de cette taille, le processus com.android.phone plante. Comme il gère les appels, les SMS et les données mobiles, le téléphone perd le réseau une ou deux secondes et l'appel en cours est coupé.
La victime n'a rien à toucher ni à ouvrir. Le message arrive sous forme de SMS de données, n'apparaît jamais dans l'application de messagerie, et le numéro de l'expéditeur n'est pas affiché. Selon le chercheur, le plantage a été reproduit sur Android 12 à 16, avec un taux de réussite de 100 % sur un Pixel 9 doté du firmware d'avril 2026 et sur plusieurs modèles Samsung Galaxy.
Pourquoi un seul SMS peut provoquer une boucle de redémarrages
Si le téléphone ne confirme pas la réception, l'opérateur renvoie le message, et le téléphone plante de nouveau. Le message reste aussi dans la file des SMS entrants et il est traité à chaque démarrage. Lors des tests, un seul message a provoqué des coupures intermittentes pendant jusqu'à une semaine. Une vingtaine de messages ont rendu un appareil inutilisable pendant longtemps. Un téléphone sous Android 12 redémarrait environ toutes les 90 secondes en mode de récupération, où Android propose d'effacer toutes les données.
Un utilisateur de GitHub a trouvé comment sortir de la boucle sans réinitialisation d'usine : supprimer les messages malveillants via ADB, l'outil de débogage d'Android, dans le court laps de temps qui suit chaque démarrage. Il faut pour cela un ordinateur, le débogage USB déjà activé sur le téléphone et quelques compétences techniques. Pour la plupart des gens, un téléphone bloqué dans cette boucle finirait donc effacé.
Un correctif discret qui laisse de côté les anciens téléphones
Le chercheur dit avoir signalé le bug à Google le 5 mai 2026. Un correctif intitulé « Fix remote DoS in decodeWapPdu » a été intégré en juin et livré dans la mise à jour de sécurité d'octobre 2026 pour Android 14 à 17. Il n'ajoute pas le contrôle de longueur proposé par le chercheur : il intercepte le plantage et supprime le message en cause pour qu'il ne se déclenche pas au démarrage suivant. La faille ne figure pas dans le bulletin de sécurité d'octobre de Google. Android 12 et 13 utilisent le même code, mais ne reçoivent plus de mises à jour.
L'application de démonstration a été publiée sur GitHub le 29 octobre. Elle envoie le message d'un téléphone Android à un autre, si bien que l'attaque ne demande plus aucun équipement spécial.
Comment vérifier votre téléphone
Ouvrez les paramètres et cherchez la date de la mise à jour de sécurité. Sur les Pixel, elle se trouve dans Paramètres, À propos du téléphone, Version d'Android, « Mise à jour de sécurité Android ». Sur les Samsung, dans Paramètres, À propos du téléphone, Informations sur le logiciel, « Niveau du correctif de sécurité Android ». Une date au 1er octobre 2026 ou après signifie que le correctif est installé, à condition que le téléphone tourne sous Android 14 ou plus récent. Si une mise à jour est en attente, installez-la et redémarrez le téléphone. Le calendrier dépend du fabricant et de l'opérateur, donc certains téléphones sous Android 14 à 17 la recevront plus tard que les Pixel.
Si votre téléphone est sous Android 12 ou 13, aucun correctif officiel n'arrivera. Un VPN n'y change rien : l'attaque passe par le réseau mobile, pas par Internet. Pour qui compte sur un tel téléphone pour les appels d'urgence, la seule vraie protection est un appareil plus récent qui reçoit encore des mises à jour.
