Un chercheur en sécurité a rendu publique le 29 octobre une faille d’Android surnommée « SMS of Death » (CVE-2026-58882) : un seul message mal formé, que la victime ne voit jamais, suffit à faire planter le service téléphonique. Les appels en cours, y compris vers les secours, sont coupés, et une série de messages peut rendre le téléphone quasi inutilisable. Google a préparé un correctif pour Android 14 à 17, mais les versions 12 et 13 risquent de rester exposées.
Comment un SMS peut faire tomber un téléphone
La faille a été découverte par Mark Blaszczyk. Elle se loge dans le traitement des messages WAP Push, un type de SMS de données que le téléphone décode automatiquement. Selon BleepingComputer, une valeur de longueur contenue dans l’en-tête n’est pas contrôlée : convertie en nombre négatif, elle provoque une erreur lors de la réservation de mémoire, et le processus qui gère les fonctions cellulaires s’arrête. Le téléphone perd alors son réseau.
Le traitement a lieu avant que le message n’arrive dans la messagerie : l’utilisateur n’a rien à ouvrir, rien à toucher, et ne voit aucune trace de la cause. heise online la qualifie d’attaque à distance, sans clic, aux effets persistants.
Pourquoi l’effet dure
D’après heise online, Android retraite le même message à chaque redémarrage, et les opérateurs renvoient les messages dont la réception n’a pas été confirmée. Résultat : sans correctif, l’appareil redémarre environ toutes les 90 secondes et finit par proposer d’effacer ses données. Le chercheur indique qu’une vingtaine de messages suffisent à rendre un téléphone pratiquement inutilisable, et qu’un seul a provoqué dans ses tests des coupures pouvant durer jusqu’à une semaine. L’attaque a été reproduite sur un Pixel 9 et sur plusieurs Galaxy de Samsung.
La publication d’une preuve de concept sur GitHub, capable d’envoyer ces messages depuis un autre téléphone Android, élargit le cercle des personnes en mesure de reproduire l’attaque.
Un correctif discret et un calendrier flou
Le parcours du signalement interroge. Mark Blaszczyk a prévenu Google le 5 mai. Selon Android Authority, Google a d’abord estimé qu’il ne s’agissait pas d’un problème de sécurité, alors que les registres du code d’Android montrent un correctif développé dès le 15 juin. Le projet GrapheneOS affirme que Google l’a diffusé via ses préversions de sécurité de juillet.
Le chercheur indique que la correction figure dans les mises à jour d’octobre pour Android 14 à 17, sans apparaître dans le bulletin de sécurité du mois. GrapheneOS l’attend dans le bulletin de novembre, classée critique. Android Authority précise avoir sollicité Google, sans réponse à la date de l’article.
Pour Android 12 et 13, que Google ne prend plus en charge, une correction est peu probable, sauf initiative d’un constructeur. Comme les mises à jour passent par les fabricants et parfois par les opérateurs, de nombreux appareils récents restent eux aussi vulnérables tant que le correctif ne leur est pas parvenu.
Que faire concrètement
- Vérifier dans les réglages la date du dernier correctif de sécurité et installer toute mise à jour disponible, puis redémarrer.
- Pour une flotte de téléphones professionnels, recenser les appareils sous Android 12 et 13 et planifier leur remplacement, surtout pour les salariés qui doivent rester joignables.
- En cas de redémarrages en boucle, ne pas accepter l’effacement des données proposé par le mode de récupération : heise rappelle que cela supprime tout, et Android Authority note qu’une remise à zéro peut ne servir à rien si l’opérateur renvoie les messages.
- Faire appel à un technicien : la récupération sans effacement passe par une connexion à un ordinateur et l’outil ADB, pour supprimer les messages piégés.
Ce que l’affaire révèle
Ce cas met en lumière la fragmentation d’Android : un correctif peut exister depuis des mois sans atteindre les utilisateurs, faute de bulletin clair et de diffusion par les constructeurs. Il rappelle aussi qu’un format de message que l’utilisateur ne voit jamais peut suffire à attaquer un téléphone. Partout où des appareils sous Android 12 ou 13 restent en service, l’exposition durera, puisque ces versions ne devraient pas être corrigées.
Questions fréquentes
Le SMS piégé peut-il voler mes données ?
Non, d’après les analyses publiées, il s’agit d’un déni de service : le message fait planter le service téléphonique et coupe le réseau, mais ne donne pas accès au contenu du téléphone.
Les iPhone sont-ils concernés ?
La faille touche le code d’Android, dans la fonction qui décode les messages WAP Push. Les articles publiés ne mentionnent aucun autre système d’exploitation concerné.
Désactiver les SMS suffit-il à se protéger ?
Les articles ne décrivent pas de réglage utilisateur qui bloque l’attaque. La seule protection citée est l’installation de la mise à jour de sécurité qui contient le correctif.
Sources
- New Android SMS of Death exploit can remotely crash unpatched phones — BleepingComputer, 2026-10-31
- "SMS of Death": Security flaw crashes Android phones — heise online, 2026-10-30
- Android's SMS of Death bug can knock out your phone, but a fix is coming soon — Android Authority, 2026-10-30