Una grave vulnerabilità nei dispositivi Android, denominata Sms of Death, è stata scoperta dal ricercatore Mark B, noto anche come @sourone su X. La falla, classificata come critica da Google il 2 novembre 2026, era stata segnalata a maggio dello stesso anno e i risultati della ricerca sono stati pubblicati il 29 ottobre su un sito dedicato.

L’attacco, definito come Destructive Remote Denial of Service, è di tipo zero-click, quindi non richiede alcuna interazione da parte dell’utente, e sfrutta un messaggio WAP Push, che non appare nell’app Messaggi e non genera notifiche, per mandare in crash il sistema operativo, interrompere le chiamate e rendere impossibile l’accesso ai dati senza un ripristino ai dati di fabbrica.

La correzione è stata resa disponibile tramite patch distribuita a ottobre per versioni di Android 14, 15, 16 e 17, ma non tutte le versioni hanno ricevuto la correzione, in particolare le versioni 12 e 13 che non ricevono più aggiornamenti di sicurezza. La falla riguarda smartphone Android con versioni da 12 a 16, tra cui i Google Pixel e alcuni dispositivi Samsung.

Gli effetti osservati includono interruzioni intermittenti delle chiamate, riavvii ripetuti e l’impossibilità di comunicare con i servizi di emergenza. Il messaggio malevolo può essere di soli 8 byte e causa il crash del processo com.android.phone. La vulnerabilità è stata inizialmente sottovalutata da Google, che aveva già preparato una patch prima della pubblicazione della ricerca.

Fonti