Une faille « SMS de la mort » sur Android plante les téléphones et coupe les appels d’urgence

Une vulnérabilité Android récemment révélée permet à des attaquants de planter le téléphone d’une victime et de couper les appels en cours, y compris les appels vers les services d’urgence, avec un simple SMS spécialement conçu. Cette faille, répertoriée sous l’identifiant CVE-2026-58882 et surnommée « SMS de la mort », ne nécessite aucune interaction de la victime : le message malveillant cause des dégâts avant même d’atteindre la boîte de réception, comme l’a rapporté BleepingComputer.

Le chercheur en sécurité Mark Blaszczyk a découvert ce bug dans le composant WapPushOverSms d’Android, chargé de traiter les messages WAP Push envoyés via le réseau cellulaire. Le code lit la valeur de longueur d’en-tête du message et la convertit sans la valider. Une séquence de cinq octets peut forcer cette conversion à produire un nombre négatif, ce qui déclenche une exception NegativeArraySizeException lors de la tentative d’allocation mémoire. Cette exception fait planter com.android.phone, le processus système responsable des appels et de la téléphonie. Blaszczyk indique un taux de reproduction de 100 % sur des appareils de test Google Pixel et Samsung Galaxy.

Ce qui rend cette attaque dangereuse, c’est son invisibilité totale. Le message malveillant reste dans la file d’attente des messages en attente d’Android, pas dans la boîte de réception visible, si bien que la victime ne voit aucune notification, aucun numéro d’expéditeur ni cause évidente du plantage. La téléphonie redémarre généralement en une à deux secondes, mais les opérateurs peuvent renvoyer un message non accusé de réception, répétant ainsi le cycle de plantage. Selon Blaszczyk, une vingtaine de messages malveillants peuvent rendre un appareil pratiquement inutilisable pendant une période prolongée, chaque tentative de redémarrage relisant la même entrée corrompue de la file.

Blaszczyk a signalé la vulnérabilité à Google de manière confidentielle le 5 mai 2026, et Google a validé un correctif technique le 15 juin 2026. Plutôt que d’adopter la proposition du chercheur consistant à valider directement la longueur de l’en-tête, Google a enveloppé la routine de décodage dans une gestion d’exceptions plus large qui intercepte le plantage et supprime le message malformé de la file. Ce correctif a été intégré à la mise à jour de sécurité d’octobre 2026 pour Android 14 à 17, mais Android 12 et 13, qui n’ont pas encore atteint leur fin de support, n’ont pas reçu la mise à jour et restent exposés. Le CVE-2026-58882 ne figurait pas non plus dans le bulletin public d’octobre de Google.

Cette lacune n’est pas anodine. Selon les dernières données de StatCounter sur la répartition des versions, Android 12 et 13 représentent ensemble environ un quart de tous les appareils Android actifs dans le monde, ce qui porte la population vulnérable à plusieurs centaines de millions d’appareils. GrapheneOS, la version d’Android axée sur la confidentialité, a indiqué que son correctif sera inclus dans son bulletin de sécurité de novembre. Les propriétaires d’appareils non corrigés n’ont aucune parade logicielle avant la publication de la mise à jour par le fabricant ou l’opérateur ; récupérer un téléphone pris dans la boucle de plantage nécessite soit d’attendre la fin du cycle, soit d’utiliser Android Debug Bridge pour supprimer manuellement le message malveillant, une démarche hors de portée de la plupart des utilisateurs.

Pour les opérateurs et les administrateurs d’appareils en entreprise, cette faille rappelle que WAP Push, un mécanisme de livraison de SMS vieux de plusieurs décennies toujours utilisé pour le provisionnement et les messages opérateur, reste une surface d’attaque active sur les téléphones modernes. Tant que les correctifs ne seront pas universels, les utilisateurs d’anciennes versions d’Android dépendront du filtrage côté opérateur plutôt que d’une protection sur l’appareil — une faille que les attaquants peuvent exploiter en masse contre des téléphones qui ne recevront jamais de mise à jour.