«SMS of Death», un messaggio azzera le chiamate: CVE critica su Android 12-17, patch da novembre
Un messaggio che non arriva mai nella casella di posta. Nessuna notifica, nessun mittente sospetto. Eppure la telefonata in corso si interrompe di colpo, anche quando è una chiamata ai numeri di emergenza.
Si chiama SMS of Death la vulnerabilità divulgata il 29 ottobre dal ricercatore Mark Blaszczyk e tracciata come CVE-2026-58882, gravità critica. Il difetto sta nel modo in cui Android gestisce alcuni SMS anomali: il sistema non riesce a processarli e manda in crash il servizio delle chiamate.
La correzione esiste già. Il problema è capire quando arriva sul telefono che hai in tasca.
Un crash che non lascia traccia
Il messaggio non compare tra gli SMS ricevuti. Niente da leggere, niente da segnalare, nessun numero da bloccare: il testo viene intercettato prima di finire nell’app di messaggistica e lì causa l’errore.
L’effetto immediato è la caduta della chiamata in corso. Poi Android continua a riprovare a processare lo stesso messaggio. Con circa venti SMS il telefono diventa inutilizzabile e può entrare in un ciclo di riavvii continui. Non serve installare nulla né concedere permessi.
Il ripristino non è alla portata di tutti
Il riavvio forzato non basta, perché i messaggi restano in memoria e vengono riletti appena il sistema torna su. Secondo il ricercatore l’unica strada senza perdere i dati è collegare il telefono a un computer e cancellarli a mano. Il factory reset non sempre risolve: se l’operatore li reinvia, il telefono torna in bootloop appena si riconnette alla rete.
TIP: controlla il livello della patch Vai in Impostazioni, Info sul telefono, Versione Android: lì compare la data della patch. Se è ferma a qualche mese fa, le correzioni recenti non sono arrivate e conviene cercare l’aggiornamento di sistema.
Pixel e Galaxy colpiti, codice vecchio di quattro anni
L’attacco è stato riprodotto su dispositivi Google Pixel e Samsung Galaxy. Il codice vulnerabile risale ad Android 12, quindi la base difettosa è presente su una platea enorme di telefoni.
La discriminante non è il marchio ma lo stato degli aggiornamenti: chi riceve ancora le patch può essere coperto, chi è stato lasciato indietro no. Ed è il punto dolente di un ecosistema in cui la distribuzione cambia da produttore a produttore, come raccontato nell’articolo su perché gli aggiornamenti Android arrivano tardi.
La cronologia che mette Google in imbarazzo
Il 5 maggio Blaszczyk segnala il problema. La risposta che riceve, secondo la sua ricostruzione, è un rifiuto ripetuto: non è un problema di sicurezza. Peccato che la correzione nel codice sia datata 15 giugno, come risulta dai registri pubblici di Android: il fix era scritto mesi prima che la ricerca finisse sotto gli occhi di tutti.
Restano un team che chiude il bug e un altro che risponde al ricercatore che non c’è niente da correggere. Google non ha chiarito la discrepanza, forse un errore interno nella gestione della segnalazione.
Quando arriva la patch
Qui le versioni non coincidono. Blaszczyk sostiene che la correzione sia dentro gli aggiornamenti di sicurezza di ottobre per Android 14, 15, 16 e 17. GrapheneOS dice invece che la vulnerabilità è in programma per il bollettino di novembre, con la patch già arrivata in AOSP a ottobre.
Le due cose possono stare insieme: i produttori ricevono i fix prima che finiscano in un bollettino pubblico. Resta incerto il passaggio finale, la distribuzione ai singoli modelli. Un conto è la patch nel repository, un altro è l’aggiornamento che ti compare sullo schermo. Anche sul fronte opposto la data della patch non racconta più tutta la storia.
La mossa concreta è una: installare subito l’ultima patch disponibile, senza aspettare novembre. Chi ha un telefono fuori supporto sta peggio, con il codice difettoso ancora lì e nessuna correzione in arrivo. Ed è l’argomento più solido a favore dei dispositivi seguiti a lungo, come in questo pezzo su quanto contano davvero sette anni di aggiornamenti.
Domande frequenti
Che cosa fa esattamente il messaggio?
Manda in crash il servizio che gestisce le chiamate. Non ruba dati, non installa nulla, non chiede permessi: interrompe la telefonia e, ripetuto, può rendere il dispositivo inutilizzabile.
Devo preoccuparmi se il mio telefono è aggiornato?
Meno. Con una patch recente il rischio cala in modo netto, anche se la copertura per modello non è certificata. Il controllo da fare è la data del livello di patch.
Il factory reset risolve il problema?
Non necessariamente. Il reset cancella i messaggi presenti, ma se l’operatore li reinvia si ricomincia da capo. Per questo il ripristino può richiedere la cancellazione manuale da computer.
La patch è già disponibile?
La correzione tecnica esiste da giugno ed è arrivata in AOSP. Per il pubblico si parla di ottobre secondo il ricercatore e di novembre secondo GrapheneOS, con tempi diversi per modello.