Un SMS invisible peut couper le réseau des téléphones Android restés sans correctif

Le téléphone n'affiche rien : aucun message dans la boîte de réception, aucune notification. Pourtant, quelques secondes plus tard, il perd le réseau et l'appel en cours est coupé. Le 29 octobre, un chercheur qui signe Mark B a rendu publique une faille d'Android qu'il a baptisée « SMS of Death », le SMS de la mort. Il a publié en même temps une analyse technique et un code d'exploitation.

Il suffit de connaître le numéro de la victime. L'attaquant envoie un SMS de données mal formé, de type WAP Push, sur le port 2948. Android traite ce message avant même qu'il n'arrive dans la messagerie. Une valeur de longueur mal contrôlée y devient un nombre négatif, ce qui fait planter com.android.phone, le processus qui gère la téléphonie. L'utilisateur n'a rien à faire : c'est une attaque « zéro clic ». BleepingComputer référence la faille sous le numéro CVE-2026-58882.

Qui est protégé, et qui ne l'est pas

Google a corrigé la faille dans les mises à jour de sécurité d'octobre 2026 pour Android 14 à 17, selon le chercheur et BleepingComputer. La correction ne figure toutefois pas dans le bulletin de sécurité d'octobre de Google. Les appareils sous Android 12 et 13 restent vulnérables : ils sont sortis de la période de mises à jour de sécurité et n'ont pas reçu le correctif.

La chronologie publiée par le chercheur montre que l'affaire a pris du temps. Il a signalé la faille à Google le 5 mai. Le correctif a été écrit le 15 juin, distribué en octobre, puis la faille a été rendue publique le 29 octobre. Google n'a pas retenu la solution que le chercheur proposait, un simple contrôle de la valeur fautive. Il a préféré intercepter l'erreur et supprimer le message piégé.

Un plantage qui pourrait se répéter

Une coupure ponctuelle serait gênante. Le chercheur décrit pire. Le message reste stocké : s'il est retraité ou si l'opérateur le renvoie, le plantage recommence et la coupure dure plus longtemps. Il souligne aussi que les appels d'urgence en cours peuvent être coupés.

Selon BleepingComputer, l'envoi de vingt messages piégés pourrait suffire à bloquer les téléphones dans une boucle de redémarrages. Un appareil sous Android 12 redémarrait en mode de récupération environ toutes les 90 secondes. Il a fallu le réinitialiser aux paramètres d'usine. Supprimer les messages fautifs sans tout effacer reste possible avec l'outil de développement ADB, mais il faut un ordinateur et de solides connaissances techniques.

Que faire ?

La seule protection documentée est la mise à jour.

• Vérifiez le niveau de correctif de sécurité dans les paramètres du téléphone (rubrique « À propos du téléphone », puis « Version d'Android »). Il doit indiquer octobre 2026 ou plus récent. Redémarrez après l'installation.
• La disponibilité dépend du fabricant et, parfois, de l'opérateur. Si la mise à jour n'est pas encore proposée, relancez la recherche dans quelques jours.
• Les téléphones sous Android 12 ou 13 sont à considérer comme non protégés. En entreprise, c'est un argument de plus pour renouveler les appareils qui ne reçoivent plus de mises à jour, surtout ceux des personnes d'astreinte ou des travailleurs isolés.
• Ne testez pas le code publié sur un appareil qui ne vous appartient pas.

Le chercheur rappelle qu'Android 12 et 13 exécutent le même code, mais ne reçoivent pas le correctif. Reste à voir si certains constructeurs le reporteront sur leurs modèles encore sous Android 12 ou 13.