Un messaggio invisibile può bloccare il tuo Android e interrompere le chiamate di emergenza

Un ricercatore ha dimostrato che un singolo messaggio di testo può far crashare completamente un telefono Android, interrompendo le chiamate in corso — comprese quelle di emergenza — senza che l'utente veda nulla. Il messaggio non appare nella inbox, non richiede alcun tocco, e arriva direttamente al sistema operativo. La vulnerabilità, catalogata come CVE-2026-58882 e soprannominata "SMS of Death", colpisce Android dalla versione 12 in poi, ma Google ha fornito una correzione solo per i dispositivi più recenti.

Chi

Mark Blaszczyk, ricercatore di sicurezza, ha scoperto e pubblicato un exploit funzionante per questa falla critica. Ha testato l'attacco con successo al 100% su dispositivi Pixel 9 e vari Samsung Galaxy, confermando che il problema riguarda il codice di base di Android utilizzato da tutti i produttori.

Cosa è successo

La vulnerabilità risiede nel modo in cui Android elabora i messaggi WAP Push, un formato di comunicazione obsoleto che gli operatori telefonici usano per inviare istruzioni ai telefoni senza richiedere alcuna azione dell'utente. Un messaggio WAP Push malformato di soli 8 byte — 01 06 88 80 80 80 00 BE — inviato alla porta 2948 causa un errore critico nel processo com.android.phone, che gestisce tutte le funzioni telefoniche del dispositivo.

Il problema tecnico è specifico: un valore di lunghezza non validato nell'intestazione del messaggio viene interpretato come un numero negativo (-2147483648 quando convertito a intero a 32 bit). Quando Android tenta di allocare memoria usando questo valore negativo, genera un'eccezione NegativeArraySizeException che fa crashare immediatamente il servizio telefonico.

Con circa 20 messaggi, il telefono entra in un loop di riavvio continuo. In uno dei test, un dispositivo Android 12 si riavviava ogni 90 secondi, costringendo l'utente a una factory reset per recuperare il controllo del telefono. Il problema è ulteriormente aggravato dal fatto che gli operatori telefonici ritentano automaticamente i messaggi non confermati: in uno dei test, un singolo messaggio ha causato interruzioni di servizio per una settimana intera.

Google ha corretto il bug il 15 giugno, ma la patch è stata resa pubblica solo a ottobre 2026 e distribuita esclusivamente ad Android 14, 15, 16 e 17. Android 12 e 13 non hanno ricevuto alcuna correzione, nonostante Google non fornisca più supporto ufficiale a queste versioni. La vulnerabilità è stata segnalata a Google il 5 maggio; l'azienda inizialmente ha chiuso il rapporto come "Will Not Fix" (probabilmente per errore interno), prima di rivedere la decisione.

Perché è importante

Questa falla rappresenta un attacco di negazione del servizio (DoS) remoto e a zero click, il che significa che l'attaccante non ha bisogno di conoscenze tecniche speciali né di accesso fisico al dispositivo. L'unico requisito è il numero di telefono della vittima e la capacità di inviare messaggi SMS grezzi — qualcosa che chiunque disponga di una SIM card e di uno strumento pubblico può fare.

L'impatto è particolarmente grave perché interrompe le chiamate di emergenza. In Australia, dove il ricercatore ha evidenziato un caso d'uso specifico, gli operatori sono obbligati per legge a bloccare i telefoni che non riescono a raggiungere i servizi di emergenza per più di 28 giorni. Un attaccante potrebbe teoricamente usare questa vulnerabilità per far disabilitare il telefono della vittima dalla rete stessa.

A differenza di un data breach, questo non è un furto di dati: l'attaccante non può leggere file, installare malware o prendere il controllo del dispositivo. Si tratta di un'interruzione di servizio pura, ma con conseguenze concrete — chi non può fare o ricevere chiamate rimane isolato.

Il fatto che Android 12 e 13 rimangono vulnerabili è particolarmente problematico. Decine di milioni di dispositivi in tutto il mondo eseguono ancora queste versioni, spesso perché i produttori hanno smesso di fornire aggiornamenti o perché gli utenti non hanno installato l'ultima versione disponibile per il loro modello. Google non ha nemmeno incluso la correzione nel suo bollettino di sicurezza di ottobre, lasciando gli utenti all'oscuro del rischio.

Cosa aspettarsi

Per gli utenti con Android 14 o successivo, l'unica protezione è installare l'ultimo aggiornamento di sicurezza disponibile. Non esiste alcuna impostazione per bloccare i messaggi WAP Push, e il sistema operativo li elabora prima che raggiungano la inbox.

Per chi possiede un dispositivo Android 12 o 13, la situazione è più complicata. Un contributore del progetto GrapheneOS ha trovato un modo per eliminare i messaggi malformati usando Android Debug Bridge (ADB), ma richiede l'accesso a un computer, strumenti di sviluppo e tempismo preciso durante la breve finestra dopo ogni riavvio — non è una soluzione pratica per l'utente medio.

L'indicatore principale da osservare è la data dell'aggiornamento di sicurezza del tuo dispositivo. Accedi a Impostazioni > Informazioni sul telefono (o Sicurezza) e verifica che la data sia ottobre 2026 o successiva. Se possiedi un Samsung, Motorola, Xiaomi o altro marchio, ricorda che gli aggiornamenti vengono distribuiti secondo le loro tempistiche — un dispositivo su Android 14 potrebbe comunque essere in attesa della patch se il produttore non l'ha ancora rilasciata.

Non sono stati segnalati attacchi in natura finora, ma ora che il proof-of-concept è pubblico, è probabile che i ricercatori di sicurezza e i malintenzionati lo studieranno attentamente. Google dovrà affrontare pressioni per fornire una patch anche ad Android 12 e 13, anche se ufficialmente non supporta più queste versioni. Nel frattempo, i proprietari di dispositivi più vecchi rimangono in uno stato vulnerabile con poche opzioni di protezione reali.