SMS of Death: la vulnerabilità Android che può bloccare uno smartphone con un semplice SMS

Un semplice SMS può mandare in crash uno smartphone Android senza che il proprietario debba nemmeno aprirlo. È quanto dimostrato dalla vulnerabilità soprannominata SMS of Death, un problema di sicurezza che interessa il sistema telefonico Android e può provocare interruzioni delle chiamate, perdita della rete e crash ripetuti.

Google ha sviluppato una correzione, ma resta una questione importante: cosa succede agli smartphone che non ricevono più aggiornamenti di sicurezza?

Cos'è SMS of Death e qual è la CVE?

SMS of Death è una vulnerabilità di tipo zero-click, ovvero sfruttabile senza alcuna interazione da parte dell'utente.

Alcune pubblicazioni la associano all'identificativo CVE-2026-58882, ma questa associazione non risulta ancora confermata in modo univoco dalla documentazione originale del ricercatore.

Il problema interessa "WapPushOverSms", un componente del framework telefonico Android che interpreta particolari messaggi chiamati WAP Push.

Non serve aprire l'SMS, cliccare su un collegamento o installare applicazioni: il messaggio viene elaborato automaticamente dal sistema operativo.

Come funziona la vulnerabilità?

Il difetto nasce da un errore nella gestione dei valori numerici utilizzati per interpretare la lunghezza dei dati contenuti nel messaggio.

Android legge un valore numerico a 64 bit ("long") e lo converte in un intero a 32 bit ("int"). Se il numero supera il limite rappresentabile, la conversione può produrre un valore negativo.

Un esempio semplificato in Java:

long lunghezza = 2147483648L;
int dimensione = (int) lunghezza;
// Risultato: -2147483648

byte[] dati = new byte[dimensione];

Java non può creare un array con dimensione negativa e genera un'eccezione chiamata "NegativeArraySizeException".

Se questa eccezione non viene gestita correttamente, può provocare il crash del processo "com.android.phone", responsabile di importanti funzioni telefoniche.

In sostanza, un valore numerico manipolato all'interno di un SMS può compromettere il funzionamento del servizio telefonico Android.

Cosa può fare un attaccante?

La vulnerabilità permette un attacco di tipo Denial of Service (DoS), finalizzato a interrompere il funzionamento di un servizio.

Le possibili conseguenze includono:

- Interruzione delle chiamate in corso.
- Perdita temporanea della connettività cellulare.
- Riavvio del processo telefonico Android.
- Crash ripetuti e, in determinate condizioni, inutilizzabilità del dispositivo.

Il problema può aggravarsi se Android tenta ripetutamente di elaborare il messaggio difettoso, generando una sequenza continua di crash.

È importante precisare che non è stato dimostrato che questa vulnerabilità consenta di rubare password, leggere fotografie o prendere il controllo completo dello smartphone.

Cambiare applicazione SMS può proteggerci?

No. Il problema non riguarda direttamente Google Messaggi, Samsung Messaggi o altre applicazioni utilizzate per leggere gli SMS.

La vulnerabilità si trova nel framework telefonico Android, che elabora i messaggi prima della loro normale visualizzazione.

Di conseguenza, aggiornare o sostituire l'applicazione SMS non corregge necessariamente il componente vulnerabile.

Google ha corretto il problema?

Google ha sviluppato una patch per gestire correttamente gli errori durante la decodifica dei messaggi WAP Push, evitando che un messaggio malformato provochi crash ripetuti.

La correzione risulta destinata alle versioni Android supportate, ma la sua effettiva disponibilità dipende anche dagli aggiornamenti distribuiti dai produttori.

Questo rappresenta un problema soprattutto per i dispositivi che hanno terminato il proprio ciclo di supporto software.

Prendiamo come esempio il Samsung Galaxy S10e, fermo ufficialmente ad Android 12 e ormai escluso dagli aggiornamenti ordinari di sicurezza.

Il dispositivo può ancora funzionare perfettamente, ma non è garantito che riceva correzioni per vulnerabilità scoperte successivamente. Per stabilire se uno specifico firmware sia effettivamente vulnerabile occorre analizzarne la versione e le patch integrate.

Come verificare gli aggiornamenti di sicurezza?

Sugli smartphone Samsung è possibile controllare la versione Android e la data dell'ultima patch da:

Impostazioni → Informazioni sul telefono → Informazioni software

La data dell'aggiornamento non garantisce, da sola, che una specifica vulnerabilità sia stata risolta. È necessario verificare anche i bollettini di sicurezza del produttore.

Una riflessione sulla sicurezza degli smartphone

SMS of Death dimostra quanto anche un piccolo errore nella gestione dei dati possa avere conseguenze importanti.

Non sempre un attacco informatico richiede applicazioni dannose, collegamenti sospetti o comportamenti imprudenti da parte dell'utente. Talvolta è sufficiente una vulnerabilità presente nel sistema operativo.

Il caso riporta inoltre l'attenzione su un problema sempre più attuale: l'obsolescenza software degli smartphone.

Un dispositivo può essere ancora perfettamente funzionante dal punto di vista hardware, ma diventare progressivamente meno sicuro perché il produttore ha interrotto gli aggiornamenti.

Prolungare la vita dei dispositivi è importante, anche per ridurre i rifiuti elettronici, ma dovrebbe essere accompagnato da un supporto software adeguato.

---

Fonti e approfondimenti tecnici

- Ricerca originale: https://smsofdeath.com/
- Correzione del codice Android (AOSP): https://android.googlesource.com/platform/frameworks/opt/telephony/+/735d9672603fa206c4b43cb668c1aa273db70b97

RiparaTa.it — Informatica, riparazioni e sicurezza digitale.