Un smartphone Android peut-il planter à cause d’un simple SMS ? La faille découverte par Mark Blaszczyk rend cela possible. Et les effets peuvent être particulièrement gênants : coupure des appels, perte de la connexion au réseau mobile et redémarrages successifs.
Baptisée « SMS de la mort », la vulnérabilité porte le numéro CVE-2026-58882. Mark Blaszczyk a prévenu Google de son existence dès mai 2026. Le chercheur a rendu publiques ses découvertes, accompagnées d’une démonstration réalisée sur des Google Pixel et des Samsung Galaxy le 29 octobre.
Qu’est-ce qui provoque le plantage ?
Le problème vient d’un type de message particulier appelé WAP Push. Contrairement aux SMS habituels, ces messages sont directement pris en charge par un système appelé WapPushOverSms.
Or, la faille touche justement un composant de ce système. Pour faire simple, lorsqu’il analyse certaines données du message, Android convertit une valeur numérique de 64 bits en nombre entier de 32 bits sans vérifier au préalable si cette conversion reste valide.
Cette opération peut transformer une valeur en un nombre négatif. Le système tente ensuite d’utiliser ce résultat pour réserver de la mémoire, ce qui provoque une erreur appelée NegativeArraySizeException.
Comme Android ne gère pas correctement cette exception, le processus chargé des fonctions téléphoniques finit par planter. Le téléphone peut alors perdre sa connexion au réseau et interrompre les appels en cours. Même les appels d’urgence ne sont pas à l’abri d’une interruption.
Le pire, c’est que…
Selon les observations de Mark Blaszczyk rapportées par Security Affairs, un smartphone peut subir des interruptions intermittentes de ses services téléphoniques pendant près d’une semaine après la réception d‘un seul message malveillant.
Le problème vient notamment de la remise en circulation du message défectueux. Celui-ci peut rester dans la file d’attente des SMS entrants et être traité à nouveau.
La situation devient encore plus problématique si l’opérateur tente de transmettre plusieurs fois le même message. Le smartphone peut alors subir des plantages à répétition.
Pendant ses essais, Blaszczyk a même constaté qu’une vingtaine de messages malveillants suffisait à enfermer un appareil dans une boucle de redémarrage.
Que faire pour se protéger du SMS de la mort sur Android ?
Eh bien, installer les mises à jour disponibles reste le meilleur réflexe. Google a déjà préparé un correctif pour cette vulnérabilité.
D’après Blaszczyk, celui-ci figure dans les mises à jour de sécurité d’octobre 2026 pour Android 14, 15, 16 et 17. Le bulletin de sécurité publié par Google en octobre ne mentionne toutefois pas explicitement CVE-2026-58882.
Quant aux anciens appareils sous Android 12 et 13, ils se trouvent dans une situation moins favorable. Ils n’ont pas reçu cette correction et restent donc vulnérables, selon Blaszczyk.
Pour vérifier si votre smartphone bénéficie des dernières protections, rendez-vous dans les paramètres d’Android et consultez la rubrique consacrée aux mises à jour de sécurité. Son emplacement peut varier selon le fabricant.
Cela dit, si votre appareil est touché, une réinitialisation complète n’est pas forcément nécessaire. D’après le chercheur, Android Debug Bridge (ADB) permet de supprimer les messages responsables du plantage. Seulement, cette solution demande quelques connaissances techniques.
Bonne nouvelle malgré tout : cette faille ne permet pas de voler vos mots de passe ou vos données personnelles. En tout cas, pas à elle seule.
La vulnérabilité relève du déni de service : elle vise à rendre le téléphone inutilisable, pas à dérober des informations. Aucune campagne d’attaques généralisées n’a été confirmée à ce jour.
- Partager l'article :
