Ing. Calogero Bono
Un seul message WAP Push modifié peut faire planter la téléphonie d'un smartphone Android, interrompre les appels et, dans certains cas, provoquer des redémarrages en boucle. La faille s'appelle CVE-2026-58882 et a été rendue publique le 29 octobre par le chercheur Mark Blaszczyk. Pas besoin d'ouvrir quoi que ce soit, et le correctif de Google ne couvre pas toutes les versions. Pour ceux qui gèrent des téléphones professionnels, le sujet est concret.
Quelques termes, avant d'entrer dans les faits. CVE est le code qui identifie de manière unique une vulnérabilité connue. WAP Push est un type de message que le système traite automatiquement et qui peut ne pas apparaître dans la boîte des SMS. Denial of service désigne une attaque qui ne vole pas de données mais empêche l'appareil de fonctionner. Bootloop est la boucle de redémarrages continus. ADB est l'outil depuis un ordinateur qui permet de dialoguer avec un téléphone Android.
Qu'est-ce que le SMS of Death et comment fonctionne-t-il ?
Selon DDay, la faille concerne la gestion des messages WAP Push, traités directement par le framework de téléphonie d'Android. Un message malformé fait planter le processus com.android.phone et le téléphone perd pendant quelques instants le réseau cellulaire.
Comme le rapporte Punto Informatico, l'en-tête altéré contient une valeur négative (-2.147.483.648) qui, lors de l'allocation de la mémoire, génère une exception. Tout cela se produit avant que le SMS n'arrive dans la liste des messages, si bien que la victime ne remarque rien de suspect.
Quels dégâts peut causer un seul message ?
Le plantage isolé ne dure que quelques secondes, car Android redémarre le processus téléphonique. Mais si un appel est en cours à ce moment-là, il tombe, y compris ceux vers les services d'urgence.
Le problème se répète si l'opérateur tente de nouveau de livrer le message ou si le contenu reste en file d'attente et est retraité. HDblog indique qu'il suffit de 20 messages pour déclencher une boucle de redémarrages. Sur un appareil sous Android 12, le téléphone est passé en mode de récupération environ toutes les 90 secondes.
Pour le remettre en service, la réinitialisation d'usine a été nécessaire. Le chercheur a également décrit une procédure via ADB pour supprimer les messages problématiques, mais elle nécessite un ordinateur et des compétences techniques.
Y a-t-il des données à risque ?
Non, selon DDay. La vulnérabilité ne permet pas de voler mots de passe, photos ou autres données personnelles. Il s'agit d'une attaque de type denial of service, ciblant la connectivité cellulaire.
Toujours selon DDay, aucune campagne à grande échelle exploitant cette faille n'a été identifiée pour l'instant. Le chercheur l'avait signalée à Google le 5 mai et a publié les détails le 29 octobre, après avoir reproduit l'attaque sur Google Pixel et Samsung Galaxy.
Qui est protégé et qui reste exposé ?
Le correctif, selon la reconstitution du chercheur, a été réalisé en juin et distribué avec les mises à jour d'octobre pour Android de la 14 à la 17. Pour les Pixel encore pris en charge, le niveau de correctif est le 5 octobre 2026.
Android 12 et 13 contiennent le code vulnérable, mais le correctif n'a pas été distribué parce que ces systèmes ne sont plus pris en charge. Ceux qui y sont restés, sans mises à jour du fabricant, sont exposés. Punto Informatico note que la mise à jour n'a atteint que peu d'appareils. Ce tableau rappelle les données sur la lente diffusion d'Android 17.
Limites à connaître
Le code CVE-2026-58882 n'apparaît pas explicitement dans le bulletin de sécurité Android d'octobre, qui liste pourtant d'autres failles DoS du framework. La date du correctif et la protection des appareils patchés viennent de la reconstitution du chercheur, pas d'une confirmation de Google dans les sources. On ne sait pas combien de téléphones sont réellement exposés ni s'il existe des exploitations ciblées.
Ce qui change pour ceux qui travaillent avec le numérique
Pour une entreprise qui fournit des téléphones à ses salariés, le risque est l'interruption des appels et de la disponibilité, pas la fuite de données. Il vaut la peine de savoir quels modèles et quelles versions d'Android sont utilisés. Les appareils sous Android 12 ou 13 doivent être considérés comme exposés tant qu'ils restent sans correctif. La gestion des correctifs ne concerne pas seulement les téléphones – la même rigueur est nécessaire pour les sites, comme nous l'expliquons en parlant de surveillance des CVE.
Notre avis
Ce cas montre la limite historique d'Android. Le correctif existe depuis des mois, mais l'avantage de celui qui le développe se perd si le fabricant ne le distribue pas ou si le téléphone n'est plus pris en charge. Il est également frappant que l'identifiant n'apparaisse pas dans le bulletin d'octobre, un détail qui complique la vérification de l'état de tes appareils. Le risque est limité, mais le fait qu'il touche les appels d'urgence le rend sérieux.
Questions fréquentes
Dois-je ouvrir le SMS pour être touché ?
Non. La faille s'active pendant que le système traite le message. Inutile de l'ouvrir, de toucher un lien ou de télécharger une pièce jointe.
Le SMS of Death vole-t-il mes données ?
Non. Selon DDay, il ne permet pas de voler des mots de passe, des photos ou des données personnelles. Il vise à empêcher le téléphone de fonctionner, surtout la connectivité cellulaire.
Quelles versions d'Android sont protégées ?
Android 14, 15, 16 et 17 avec le correctif d'octobre, selon le chercheur. Android 12 et 13 contiennent le code vulnérable et n'ont pas reçu le correctif.
Que faire si le téléphone part en bootloop ?
La réinitialisation d'usine fonctionne, mais efface les données. Une autre solution existe via ADB pour supprimer les messages problématiques, mais elle nécessite un ordinateur et des compétences techniques.
Les appels d'urgence sont-ils aussi coupés ?
Oui. Les sources indiquent que le plantage interrompt les appels en cours, y compris ceux vers les services d'urgence. Le plantage isolé ne dure que quelques secondes.
Ce qu'il faut surveiller dans les prochaines semaines sur les correctifs Android
La partie se joue sur les mises à jour qui arrivent réellement sur les téléphones. Il est utile de suivre quelques signaux.
- Vérifie que les téléphones mis à jour affichent le niveau de correctif d'octobre ou ultérieur.
- Suis si Google intègre CVE-2026-58882 dans ses bulletins de sécurité.
- Remplace ou isole les appareils sous Android 12 et 13 qui ne reçoivent plus de mises à jour.
