La faille « SMS of Death » d’Android peut couper les appels sans toucher

Le chercheur indépendant Mark Blaszczyk a divulgué le 29 octobre 2026 une faille d’Android qu’il a surnommée « SMS of Death ». Selon cette divulgation, un seul message malformé, envoyé sous forme de SMS de données, peut faire tomber le service d’appels d’un téléphone vulnérable sans que la victime n’ouvre quoi que ce soit, ne clique sur un lien ou n’effectue aucune action. Il s’agit ici d’un RAPPORT DU CHERCHEUR, partiellement corroboré par une couverture indépendante : les tests sont ceux du chercheur lui-même, et le calendrier exact du correctif reste contesté, comme expliqué ci-dessous.

La faille se situe dans WapPushOverSms, un composant du framework de téléphonie d’Android qui traite les messages WAP Push, un ancien format de SMS de données utilisé, par exemple, pour les notifications des opérateurs et des messages multimédias. Lors du décodage, le code lit la longueur déclarée de l’en-tête et la convertit en entier signé de 32 bits sans vérifier correctement l’intervalle. La valeur obtenue peut devenir négative et, lorsqu’Android tente d’allouer de la mémoire de cette taille, il génère une exception qui arrête le processus com.android.phone, responsable des appels et de la connexion mobile.

Ce qui se passe en pratique

Comme le message est traité avant d’atteindre l’application de messagerie, il n’apparaît pas dans la boîte de réception, ne produit aucune notification visible et n’affiche pas le numéro de l’expéditeur, selon le chercheur. Chaque interruption coupe le service pendant environ une à deux secondes, le temps que le processus redémarre, ce qui suffit à couper un appel en cours, y compris un appel d’urgence. Comme les opérateurs peuvent renvoyer les messages non confirmés, l’interruption peut se répéter. Dans les tests du chercheur, une vingtaine de messages ont suffi à rendre l’appareil pratiquement inutilisable pendant une période prolongée, coincé dans un cycle de redémarrage.

Blaszczyk affirme avoir reproduit la faille à chaque tentative sur un Pixel 9 et sur plusieurs téléphones Samsung Galaxy, dont des modèles de la série A, sous Android 12 à 16. Le code vulnérable remonte au moins à Android 12, selon la couverture. Il faut circonscrire l’impact : il s’agit d’une faille de déni de service, donc de disponibilité. La divulgation ne présente aucune preuve qu’elle vole des données, des mots de passe ou des photos, ni qu’elle prenne le contrôle de l’appareil, et aucune attaque confirmée dans le monde réel n’a été signalée à ce jour.

Qui est protégé, et où les versions divergent

Selon le chercheur, un correctif existe dans l’Android Open Source Project depuis juin 2026 et aurait atteint les mises à jour d’octobre 2026 pour Android 14 à 17, mais pas Android 12 et 13, hors de la fenêtre des mises à jour de sécurité. Un point contesté mérite d’être connu : le CVE identifié dans la couverture sous le nom CVE-2026-58882, jugé Critique selon Android Authority, n’apparaît pas dans le bulletin de sécurité d’octobre 2026 de Google. Android Authority et le projet GrapheneOS indiquent que le CVE devrait figurer dans le bulletin de novembre, et que le correctif avait déjà circulé dans des aperçus de sécurité destinés aux fabricants en juillet. Le chercheur rapporte aussi que Google avait d’abord classé son signalement, envoyé le 5 mai 2026, comme un problème sans caractère de sécurité.

Concrètement, cela signifie deux choses. D’abord, même un téléphone sous Android 14 ou plus récent n’est protégé que s’il a installé la mise à jour contenant le correctif ; la version du système seule ne suffit pas. Ensuite, les appareils bloqués sur Android 12 ou 13 peuvent rester exposés. Selon les données de distribution de Google citées par la couverture, Android 12 représente 9,6 % et Android 13 11,8 % des appareils actifs, soit environ un sur cinq au total. Ce chiffre compte des versions du système, pas des niveaux de correctif, ce n’est donc pas une mesure exacte du nombre d’appareils vulnérables à l’heure actuelle.

Que faire maintenant

Installez la mise à jour système la plus récente proposée pour votre téléphone et vérifiez le niveau du correctif de sécurité dans les Paramètres. Ne supposez pas que le correctif d’octobre, à lui seul, inclut déjà cette correction, vu la divergence de calendrier décrite ci-dessus ; il vaut mieux vérifier à nouveau lorsque le bulletin de novembre sera publié. Si le téléphone entre dans une boucle de redémarrage, contactez le support officiel du fabricant plutôt que d’essayer d’effacer des données par vous-même.

Fontes

Crédit image : logo Android, image : Google, via AndroidPure.

Transparence : cet article a été élaboré avec l’aide de l’intelligence artificielle, à partir du recoupement de sources publiques sur internet listées ci-dessus, y compris des comptes rendus de publications sur X cités par la couverture. Consultez les sources originales pour confirmer les détails avant de prendre toute décision.

— Muse