Android : une preuve de concept publiée pour la faille « SMS of Death »

Ce que permettrait la faille

Le 31 octobre 2026, Bleeping Computer a rapporté qu’un chercheur en sécurité avait publié une preuve de concept fonctionnelle pour une vulnérabilité d’Android surnommée « SMS of Death », suivie sous la référence CVE-2026-58882. Une seule source rapporte ces informations : cet article, qui s’appuie sur l’analyse technique du chercheur. Elles sont donc présentées au conditionnel.

La faille serait un déni de service « zéro clic » : un SMS de données spécialement construit suffirait à faire planter le processus com.android.phone, qui gère les fonctions cellulaires du téléphone. La connexion au réseau mobile tomberait alors et les appels en cours seraient coupés, y compris les appels aux services d’urgence. La victime n’a rien à faire, et ne voit rien non plus : Android traiterait le message avant qu’il n’arrive dans la boîte de réception. Aucun indice visible n’indique donc l’origine du plantage.

Une erreur de validation dans le décodage des messages WAP Push

Le problème se situerait dans la fonction WapPushOverSms.decodeWapPdu, qui décode les messages WAP Push. Une valeur de longueur d’en-tête n’y serait pas correctement validée : convertie en entier signé sur 32 bits sans contrôle de bornes, elle devient négative. Quand le système tente ensuite d’allouer de la mémoire avec cette taille, une exception NegativeArraySizeException est levée et le processus téléphonique s’arrête.

Le plantage ne serait pas forcément unique. Selon le chercheur, il peut se répéter quand l’opérateur tente de redistribuer le message, ou quand Android retraite des messages déjà stockés sur l’appareil. Lors de ses tests, 20 messages auraient suffi à bloquer des téléphones dans une boucle de redémarrage. Sur un appareil sous Android 12, le téléphone redémarrait en mode de récupération (recovery) environ toutes les 90 secondes, et seule une réinitialisation d’usine a permis de le remettre en état. Un contributeur sur GitHub a trouvé une méthode pour supprimer ces messages avec Android Debug Bridge (ADB), mais elle demande un ordinateur et des connaissances techniques avancées.

Qui est exposé

D’après le chercheur, Google aurait corrigé la faille dans ses mises à jour de sécurité d’octobre 2026 pour Android 14 à 17. Le correctif, intitulé « Fix remote DoS in decodeWapPdu », intercepte les exceptions déclenchées par ces messages malformés et supprime les messages malveillants de la base de données des SMS, ce qui empêche les plantages à répétition.

Deux points compliquent la situation. D’abord, la vulnérabilité ne figure pas dans le bulletin de sécurité d’octobre de Google : le consulter ne permet donc pas de savoir si un appareil est protégé. Ensuite, les téléphones sous Android 12 et 13 resteraient vulnérables, faute d’avoir reçu le correctif. Enfin, la preuve de concept publiée permet d’envoyer les messages piégés depuis un autre appareil Android.

Comment vérifier et se protéger

Sur un téléphone sous Android 14 à 17, vérifiez dans les réglages que la mise à jour de sécurité d’octobre 2026, ou une plus récente, est bien installée. Ces mises à jour s’installent généralement d’elles-mêmes sur les appareils pris en charge, mais leur disponibilité dépend du fabricant et de l’opérateur, et un redémarrage peut être nécessaire pour terminer l’installation. Si une mise à jour attend, redémarrez l’appareil.

Pour les téléphones sous Android 12 ou 13, la source ne mentionne aucun correctif. Sachez seulement que des coupures répétées du réseau mobile ou des redémarrages en boucle peuvent venir de cette faille, même si aucun message n’apparaît dans l’application SMS.

Maintenant que la preuve de concept est publique, une mise à jour téléchargée mais pas encore appliquée ne protège pas le téléphone : seul le redémarrage la rend effective.