Una vulnerabilità denominata “SMS of Death” (o “Sms della morte”) mette a rischio diversi dispositivi Android: un semplice messaggio può causare un crash ripetuto del sistema operativo, rendendo di fatto inutilizzabile la funzione di chiamata.
La falla, identificata con il codice CVE-2026-58882, è stata segnalata a Google il 5 maggio 2026 dal ricercatore Mark B., noto con lo pseudonimo @sourone su X. Il 29 ottobre 2026, il ricercatore ha pubblicato ulteriori dettagli e una dimostrazione sul sito dedicato SmsOfDeath.com.
Secondo la descrizione ufficiale, si tratta di un attacco Denial of Service (DoS) remoto distruttivo: un messaggio WAP Push malformato provoca il crash del processo com.android.phone, interrompendo le chiamate (inclusi i numeri di emergenza) e causando la perdita temporanea della connessione cellulare. L’attacco è definito “zero-click”, poiché non è necessario aprire il messaggio o compiere alcuna azione; la semplice ricezione del testo è sufficiente a scatenare il problema.
Tra le conseguenze principali segnalate: disservizi intermittenti o crash ripetuti, perdita della rete mobile e possibile impossibilità di effettuare chiamate di emergenza. Secondo il ricercatore, un singolo messaggio ha causato in alcune condizioni interruzioni intermittenti protratte nel tempo.
La vulnerabilità riguarda smartphone Android con versioni del sistema operativo dalla 12 alla 16, inclusi dispositivi Google Pixel e alcuni modelli Samsung Galaxy. Google ha rilasciato una patch di sicurezza a ottobre 2026 per correggere il problema, impedendo il crash e rimuovendo automaticamente il messaggio problematico dalla coda.
Non tutte le versioni del sistema operativo sembrano aver ricevuto la correzione, e la patch non è specificamente menzionata nel bollettino di sicurezza di ottobre. Al momento non ci sono prove di attacchi su larga scala che sfruttano questa vulnerabilità. Google ha dichiarato che non sono state identificate prove di sfruttamento attivo e che l’unica soluzione è aggiornare il sistema operativo.
Il problema riguarda soprattutto il funzionamento della rete cellulare e delle chiamate, più che l’accesso ai dati personali.
Fonti
- Corriere della Sera: L'«Sms della morte» che manda in tilt gli smartphone Android: basta un messaggio e il sistema operativo si blocca
- la Repubblica: SMS of Death: il messaggio invisibile che può bloccare Android e per il quale non ci sono difese
- DDay.it: Android, un solo SMS può fare danni: niente chiamate e crash dello smartphone. La patch non c'è per tutti