Le chercheur en sécurité Mark Blah a publié un outil de preuve de concept pour exploiter une vulnérabilité récemment corrigée dans le système d'exploitation Android, baptisée "SMS of Death" (message de mort textuel) et portant l'identifiant (CVE-2026-58882). Cette vulnérabilité permet à des attaquants de désactiver les services de téléphonie cellulaire ou de faire planter à distance les téléphones ciblés sans aucune interaction de l'utilisateur, en envoyant un SMS spécialement modifié.
Cette faille est classée parmi les attaques par déni de service sans interaction (Zero-click), car elle peut interrompre les appels en cours, y compris les appels d'urgence. Plus grave encore, le système Android traite le message avant qu'il n'atteigne la boîte de réception, ne laissant à l'utilisateur aucun indicateur visuel expliquant pourquoi son appareil est en panne.
Comment fonctionne la vulnérabilité WapPushOverSms ?
Le chercheur technique a expliqué que la vulnérabilité découle d'une validation incorrecte de la valeur de la longueur de l'en-tête dans la fonction (decodeWapPdu) au sein du composant (WapPushOverSms) d'Android. Pour mener l'attaque, un message push WAP corrompu composé de huit octets peut être envoyé au port (2948) sous forme de données de messages courts.
Lorsque cette valeur est traduite en un entier signé de 32 bits sans vérification des limites, elle se transforme en (-2147483648). Lorsque Android tente d'allouer de la mémoire à l'aide de cette valeur négative, cela déclenche une exception (NegativeArraySizeException) entraînant le plantage du processus de gestion des appels (com.android.phone). Par conséquent, les connexions cellulaires sont coupées et les appareils subissent une panne.
Risques de répétition et boucles de redémarrage
Les tests du chercheur ont montré que l'envoi de 20 messages malveillants peut faire entrer les téléphones dans des boucles de redémarrage continues. Sur un appareil Android 12, le téléphone a redémarré en mode de récupération (Recovery Mode) toutes les 90 secondes environ, nécessitant une réinitialisation d'usine pour rétablir son fonctionnement.
Bien que Google ait inclus un correctif de sécurité résolvant le problème en interceptant les exceptions et en supprimant les messages malveillants de la base de données SMS, les appareils plus anciens tels qu'Android 12 et 13 restent vulnérables faute de recevoir la mise à jour.
Qu'est-ce que cela signifie pour les utilisateurs ?
Avec la disponibilité publique de l'outil de preuve de concept, il est conseillé aux utilisateurs d'appareils Android pris en charge d'installer les dernières mises à jour de sécurité dès qu'elles sont disponibles afin de protéger leurs appareils contre les attaques potentielles et d'empêcher la répétition des pannes du système.