Pubblicato l'exploit per la falla Android che stacca il telefono dalla rete con un SMS
Un ricercatore di sicurezza ha pubblicato un exploit funzionante per una falla di Android che permette a chiunque conosca il vostro numero di staccare il telefono dalla rete cellulare con un solo SMS nascosto. La vulnerabilità, che il ricercatore chiama «SMS of Death» e che BleepingComputer indica come CVE-2026-58882, manda in crash il processo di sistema che gestisce chiamate e dati mobili e può interrompere una chiamata d'emergenza in corso. Google l'ha corretta nell'aggiornamento di sicurezza Android di ottobre 2026 per Android da 14 a 17. I telefoni con Android 12 e 13 non ricevono la correzione, riporta BleepingComputer il 31 ottobre.
Come un messaggio stacca il telefono dalla rete
L'attacco sfrutta WAP Push, un vecchio formato di SMS con cui gli operatori inviano impostazioni e messaggi di servizio ai telefoni. Secondo l'analisi tecnica del ricercatore Mark B, Android legge un valore di lunghezza dall'intestazione del messaggio e lo trasforma in un numero negativo senza controllarlo. Quando il sistema prova poi a riservare memoria di quella dimensione, il processo com.android.phone va in crash. Quel processo gestisce chiamate, SMS e dati mobili, quindi il telefono perde il segnale per un secondo o due e la chiamata in corso cade.
La vittima non deve toccare né aprire nulla. Il messaggio arriva come SMS di dati, non compare mai nell'app dei messaggi e il numero del mittente non viene mostrato. Secondo il ricercatore, il crash è stato riprodotto su Android dalla 12 alla 16, con un tasso di successo del 100% su un Pixel 9 con firmware di aprile 2026 e su diversi modelli Samsung Galaxy.
Perché un solo SMS può causare riavvii a ripetizione
Se il telefono non conferma la consegna, l'operatore invia di nuovo il messaggio e il telefono va di nuovo in crash. Il messaggio inoltre resta nella coda degli SMS in arrivo e viene elaborato a ogni avvio. Nei test un solo messaggio ha causato interruzioni intermittenti fino a una settimana. Una ventina di messaggi ha reso un dispositivo inutilizzabile a lungo. Un telefono con Android 12 si riavviava in modalità di ripristino circa ogni 90 secondi, e lì Android propone di cancellare tutti i dati.
Un utente di GitHub ha trovato un modo per uscire dal ciclo senza il ripristino alle impostazioni di fabbrica: cancellare i messaggi dannosi tramite ADB, lo strumento di debug di Android, nel breve intervallo dopo ogni avvio. Servono però un computer, il debug USB già attivato nelle impostazioni e qualche competenza tecnica, quindi per la maggior parte delle persone un telefono bloccato in questo stato finirebbe cancellato.
Una correzione silenziosa che salta i telefoni più vecchi
Il ricercatore afferma di aver segnalato il bug a Google il 5 maggio 2026. Una correzione intitolata «Fix remote DoS in decodeWapPdu» è stata inserita nel codice a giugno ed è arrivata con l'aggiornamento di sicurezza di ottobre 2026 per Android da 14 a 17. Non aggiunge il controllo sulla lunghezza proposto dal ricercatore: intercetta il crash e cancella il messaggio che lo provoca, così che non scatti di nuovo all'avvio successivo. La falla non compare nel bollettino di sicurezza di ottobre di Google. Android 12 e 13 usano lo stesso codice, ma non ricevono più aggiornamenti.
L'app dimostrativa è stata pubblicata su GitHub il 29 ottobre. Invia il messaggio da un telefono Android a un altro, quindi per l'attacco non serve più alcuna attrezzatura speciale.
Come controllare il vostro telefono
Aprite le impostazioni e cercate la data dell'aggiornamento di sicurezza. Sui Pixel si trova in Impostazioni, Informazioni sul telefono, Versione di Android, «Aggiornamento della sicurezza Android». Sui Samsung è in Impostazioni, Info sul telefono, Informazioni sul software, «Livello patch di protezione Android». Una data dal 1° ottobre 2026 in poi significa che la correzione è installata, purché il telefono abbia Android 14 o una versione successiva. Se c'è un aggiornamento in attesa, installatelo e riavviate il telefono. I tempi dipendono dal produttore e dall'operatore, per cui alcuni telefoni con Android da 14 a 17 lo riceveranno più tardi dei Pixel.
Se il vostro telefono ha Android 12 o 13, non arriverà alcuna correzione ufficiale. Una VPN qui non serve: l'attacco arriva dalla rete cellulare, non da internet. Per chi conta su un telefono del genere per le chiamate d'emergenza, l'unica vera protezione è un dispositivo più recente che riceva ancora aggiornamenti.
