Un semplice SMS, ricevuto senza che l’utente debba aprirlo o compiere alcuna azione, può interrompere le chiamate e, nei casi più gravi, rendere temporaneamente inutilizzabile uno smartphone Android. È quanto emerge dalla scoperta di una nuova vulnerabilità di sicurezza, identificata come CVE-2026-58882 e ribattezzata SMS of Death. Il problema interessa la gestione di particolari messaggi da parte del sistema operativo Google e può provocare il blocco dei servizi telefonici o una sequenza continua di riavvii.
La falla è stata individuata dal ricercatore di sicurezza Mark Blaszczyk, che l’ha segnalata a Google il 5 maggio 2026, pubblicando successivamente i risultati della ricerca il 29 ottobre. Il problema è stato riprodotto su diversi smartphone Google Pixel e Samsung Galaxy, ma potrebbe interessare anche dispositivi di altri produttori che utilizzano versioni Android prive della correzione.
Google ha già sviluppato un aggiornamento correttivo, ma la sua effettiva disponibilità dipende dal produttore e dal livello delle patch di sicurezza installate sul singolo dispositivo.
Come funziona SMS of Death e perché non serve aprire il messaggio
La vulnerabilità sfrutta un errore nella gestione dei messaggi WAP Push, una particolare tipologia di comunicazione utilizzata dai servizi di rete che Android può elaborare automaticamente, senza mostrare il contenuto nella normale applicazione SMS.
Il messaggio malevolo contiene informazioni formulate in modo anomalo che, quando vengono elaborate dal sistema, provocano un errore nel processo responsabile della telefonia, denominato com.android.phone.
La conseguenza immediata può essere l’interruzione della connettività cellulare e delle chiamate in corso, comprese quelle verso i servizi di emergenza.
La caratteristica più preoccupante è che si tratta di un attacco zero-click: il destinatario non deve toccare alcun collegamento, scaricare allegati o autorizzare operazioni. Il messaggio viene elaborato automaticamente e non compare neppure nella casella degli SMS ricevuti.
Secondo i test del ricercatore, un singolo messaggio può interrompere temporaneamente il servizio cellulare. Il problema può però aggravarsi quando l’operatore telefonico tenta di riconsegnare il messaggio, provocando nuovi errori.
Durante le prove, l’invio di circa 20 messaggi appositamente preparati è stato sufficiente a rendere uno smartphone inutilizzabile per un periodo prolungato. In alcune condizioni il dispositivo può entrare in un ciclo di riavvii continui, senza permettere all’utente di accedere normalmente alle proprie funzioni.
Quali smartphone Android sono a rischio?
La vulnerabilità riguarda un componente del sistema operativo presente in diverse generazioni Android. Secondo Blaszczyk, il problema è stato riscontrato su dispositivi con versioni comprese tra Android 12 e Android 16, mentre il codice interessato è presente anche in Android 17.
La buona notizia è che Google ha già realizzato una correzione, distribuita, secondo il ricercatore, attraverso gli aggiornamenti di sicurezza di ottobre 2026 per Android 14, 15, 16 e 17.
La situazione è invece più delicata per gli smartphone che utilizzano Android 12 e Android 13, soprattutto quando hanno terminato il periodo di supporto software. Questi dispositivi non risultano coperti dalla correzione generale indicata dal ricercatore, salvo eventuali interventi specifici dei produttori.
C’è tuttavia un dettaglio da considerare: la vulnerabilità non compare esplicitamente nel bollettino pubblico di sicurezza Android di ottobre. Sebbene il codice della correzione sia documentato, la distribuzione effettiva sui singoli modelli deve quindi essere verificata.
La sola versione di Android non basta a stabilire se uno smartphone sia protetto: conta soprattutto la presenza della patch correttiva.
Come proteggersi e cosa fare se il telefono si blocca
La prima precauzione consiste nel controllare e installare gli ultimi aggiornamenti di sicurezza disponibili.
Sulla maggior parte degli smartphone Android è possibile verificare la situazione attraverso Impostazioni, Informazioni sul telefono e Versione Android, oppure nella sezione dedicata agli aggiornamenti di sistema. I nomi dei menu possono variare in base al produttore.
È consigliabile verificare la presenza delle patch di ottobre 2026 o successive e installare gli aggiornamenti eventualmente disponibili, tenendo presente che la data visualizzata non garantisce da sola l’inclusione di ogni correzione su tutte le personalizzazioni Android.
Per gli smartphone non più supportati, il rischio è maggiore: in assenza di una patch specifica del produttore, potrebbe non essere possibile eliminare la vulnerabilità attraverso un normale aggiornamento.
Se il dispositivo è già entrato in un ciclo continuo di riavvii, il ricercatore ha documentato una procedura di recupero attraverso Android Debug Bridge (ADB), che permette di rimuovere i messaggi responsabili del blocco. Si tratta però di un intervento tecnico, generalmente poco adatto agli utenti meno esperti. Prima di procedere con un ripristino di fabbrica, che potrebbe comportare la perdita dei dati, è quindi preferibile rivolgersi all’assistenza.
Non ruba password o fotografie, ma può bloccare le comunicazioni
È importante chiarire la natura della minaccia. SMS of Death non è una vulnerabilità progettata per sottrarre password, fotografie o informazioni personali. Si tratta di un attacco di tipo Denial of Service, il cui obiettivo è compromettere la disponibilità del servizio telefonico.
Questo non la rende meno importante, perché l’impossibilità di effettuare o mantenere una chiamata può avere conseguenze particolarmente serie, soprattutto nelle situazioni di emergenza.
Il ricercatore ha inoltre pubblicato una dimostrazione funzionante dell’attacco, rendendo ancora più importante la distribuzione delle correzioni sui dispositivi non aggiornati.
Al momento non risultano prove confermate di campagne di attacco diffuse contro gli utenti Android. La vulnerabilità è però concreta, documentata e potenzialmente sfruttabile a distanza. Per questo, soprattutto sui telefoni più datati, verificare lo stato degli aggiornamenti di sicurezza rimane la misura preventiva più importante.