Ing. Calogero Bono
Un solo messaggio WAP Push manipolato può mandare in crash la telefonia di uno smartphone Android, interrompere le chiamate e, in certi casi, causare riavvii continui. La falla si chiama CVE-2026-58882 ed è stata resa pubblica il 29 ottobre dal ricercatore Mark Blaszczyk. Non serve aprire nulla, e la correzione di Google non copre tutte le versioni. Per chi gestisce telefoni aziendali il tema è concreto.
Qualche termine, prima di entrare nei fatti. CVE è il codice che identifica in modo univoco una vulnerabilità nota. WAP Push è un tipo di messaggio che il sistema elabora in automatico e che può non comparire nella casella degli SMS. Denial of service indica un attacco che non ruba dati ma impedisce al dispositivo di funzionare. Bootloop è il ciclo di riavvii continui. ADB è lo strumento da computer con cui si dialoga con un telefono Android.
Cos'è l'SMS of Death e come funziona?
Secondo DDay, la falla riguarda la gestione dei messaggi WAP Push, elaborati direttamente dal framework di telefonia di Android. Un messaggio malformato manda in crash il processo com.android.phone e il telefono perde per qualche istante la rete cellulare.
Come riporta Punto Informatico, l'intestazione alterata contiene un valore negativo (-2.147.483.648) che durante l'allocazione della memoria genera un'eccezione. Il tutto avviene prima che l'SMS arrivi tra i messaggi, quindi la vittima non vede nulla di sospetto.
Che danni può fare un solo messaggio?
Il singolo crash dura pochi secondi, perché Android riavvia il processo telefonico. Se però in quel momento c'è una chiamata, cade, comprese quelle ai servizi di emergenza.
Il problema si ripete se l'operatore prova a consegnare di nuovo il messaggio o se il contenuto resta in coda e viene rielaborato. HDblog riferisce che bastano 20 messaggi per innescare un ciclo di riavvii. Su un dispositivo con Android 12 il telefono è entrato in modalità di ripristino circa ogni 90 secondi.
Per tornare a usarlo è servito il ripristino di fabbrica. Il ricercatore ha descritto anche una procedura via ADB per eliminare i messaggi problematici, ma richiede un computer e competenze tecniche.
Ci sono dati a rischio?
No, stando a DDay. La vulnerabilità non permette di rubare password, foto o altri dati personali. È un attacco di tipo denial of service, mirato alla connettività cellulare.
Sempre secondo DDay, al momento non sono state identificate campagne su larga scala che la sfruttino. Il ricercatore l'aveva segnalata a Google il 5 maggio e ha pubblicato i dettagli il 29 ottobre, dopo aver riprodotto l'attacco su Google Pixel e Samsung Galaxy.
Chi è protetto e chi resta esposto?
Il fix, secondo la ricostruzione del ricercatore, è stato realizzato a giugno e distribuito con gli aggiornamenti di ottobre per Android dalla 14 alla 17. Per i Pixel ancora supportati il livello di patch è 5 ottobre 2026.
Android 12 e 13 contengono il codice vulnerabile, ma la correzione non è stata distribuita perché i sistemi sono fuori supporto. Chi è rimasto lì, senza aggiornamenti del produttore, è esposto. Punto Informatico nota che l'update ha raggiunto pochi dispositivi. Il quadro ricorda i dati sulla lenta diffusione di Android 17.
Limiti da conoscere
Il codice CVE-2026-58882 non compare esplicitamente nel bollettino di sicurezza Android di ottobre, che pure elenca altre falle DoS del framework. La data del fix e la protezione dei dispositivi patchati arrivano dalla ricostruzione del ricercatore, non da una conferma di Google nelle fonti. Non sappiamo quanti telefoni siano davvero esposti né se esistano sfruttamenti mirati.
Cosa cambia per chi lavora con il digitale
Per un'azienda con telefoni forniti ai dipendenti, il rischio è l'interruzione di chiamate e reperibilità, non la fuga di dati. Conviene sapere quali modelli e versioni Android sono in uso. I dispositivi con Android 12 o 13 vanno considerati esposti finché restano senza patch. La gestione delle patch non vale solo per i telefoni, la stessa disciplina serve per i siti, come spieghiamo parlando di monitoraggio delle CVE.
Il nostro parere
Il caso mostra il limite storico di Android. La correzione esiste da mesi, ma il vantaggio di chi la sviluppa si perde se il produttore non la distribuisce o se il telefono è fuori supporto. Colpisce anche che l'identificativo non sia nel bollettino di ottobre, un dettaglio che complica il lavoro di chi deve verificare lo stato dei propri dispositivi. Il rischio è limitato, ma toccare le chiamate di emergenza lo rende serio.
Domande frequenti
Devo aprire l'SMS per essere colpito?
No. La falla si attiva durante l'elaborazione del messaggio da parte del sistema. Non serve aprirlo, toccare link o scaricare allegati.
L'SMS of Death ruba i miei dati?
No. Secondo DDay non permette di rubare password, foto o dati personali. Punta a impedire il funzionamento del telefono, soprattutto la connettività cellulare.
Quali versioni di Android sono protette?
Android 14, 15, 16 e 17 con la patch di ottobre, secondo il ricercatore. Android 12 e 13 contengono il codice vulnerabile e non hanno ricevuto la correzione.
Cosa faccio se il telefono va in bootloop?
Il ripristino di fabbrica funziona, ma cancella i dati. In alternativa esiste una procedura ADB per eliminare i messaggi problematici, che richiede un computer e competenze tecniche.
Cadono anche le chiamate di emergenza?
Sì. Le fonti riportano che il crash interrompe le chiamate in corso, comprese quelle ai servizi di emergenza. Il singolo crash dura pochi secondi.
Cosa controllare nelle prossime settimane sulle patch Android
La partita si gioca sugli aggiornamenti che arrivano davvero sui telefoni. Conviene seguire alcuni segnali.
- Controlla che i telefoni aggiornati mostrino il livello di patch di ottobre o successivo.
- Segui se Google inserisce CVE-2026-58882 nei bollettini di sicurezza.
- Sostituisci o isola i dispositivi con Android 12 e 13 che non ricevono più aggiornamenti.
