Un chercheur en sécurité a publié un exploit fonctionnel ciblant une vulnérabilité critique sur Android, surnommée « SMS of Death ». Cette faille permet de faire planter à distance un smartphone et de couper son réseau mobile à l’aide d’un simple message texte malveillant.
Google a corrigé le problème dans les correctifs de sécurité d’octobre 2026, mais les appareils sous Android 12 et 13 se retrouvent totalement dépourvus de correctif.
Un mécanisme d’attaque zero-click redoutable
La faille, référencée sous le nom CVE-2026-58882, réside dans la fonction WapPushOverSms.decodeWapPdu du code de téléphonie d’Android. L’application traite le message avant même qu’il n’arrive dans la boîte de réception, rendant l’attaque totalement invisible pour la victime. Aucun clic ni manipulation n’est requis.
Le problème technique provient d’une absence de vérification des limites sur la valeur de longueur d’en-tête d’un message WAP Push transmis sur le port 2948. Lu comme un entier signé de 32 bits, le nombre se transforme en -2147483648. Le système tente alors d’allouer de la mémoire avec cette taille négative, ce qui déclenche une exception et plante immédiatement le processus de gestion des fonctions cellulaires com.android.phone.
Dans certains tests menés par le chercheur, l’envoi répété de ces messages a plongé des appareils dans des boucles de redémarrage permanentes. Sur un modèle sous Android 12, le téléphone a basculé en mode de récupération en boucle,obligeant l’utilisateur à effectuer une réinitialisation matérielle aux paramètres d’usine pour récupérer l’accès à son appareil.
Android 12 et 13 oubliés par les correctifs
Google a intégré un correctif dans le code source pour les versions allant d’Android 14 à Android 17. Le correctif intercepte l’exception provoquée par le message malformé et supprime automatiquement le contenu de la base de données SMS pour empêcher les crashs en boucle.
Les utilisateurs équipés d’appareils sous Android 14 et versions ultérieures doivent simplement vérifier la présence d’une mise à jour système dans les paramètres de leur téléphone.
En revanche, les possesseurs de smartphones fonctionnant sous Android 12 et Android 13 n’ont aucun correctif à installer.Le bulletin d’octobre 2026 ne mentionne pas ces versions plus anciennes, laissant un parc important d’appareils vulnérables face au code d’exploitation public désormais disponible en ligne.
![[Valid RSS]](https://www.techcroute.com/wp-content/uploads/2023/02/valid-rss-rogers.png "Validate my RSS feed")
