Immagina un SMS che non vedrai mai, non comparirà nella tua lista di conversazioni e non ti chiederà di cliccare su nulla. Eppure, nel momento in cui viene recapitato, il tuo telefono potrebbe riavviarsi, interrompere una chiamata in corso o, nei casi peggiori, entrare in un ciclo infinito di malfunzionamenti. Non è fantascienza: si chiama "SMS of Death" ed è una vulnerabilità scoperta dal ricercatore indipendente Mark B., che l'ha resa pubblica lo scorso 29 ottobre dopo mesi di confronto con Google.
Il difetto è tracciato come CVE-2026-58882 e colpisce il framework di telefonia di Android. La particolarità? È un attacco zero-click: non serve alcuna interazione da parte della vittima. Il messaggio dannoso viene inviato come data SMS su una porta di servizio (la 2948, quella usata dal WAP Push) e non appare mai nell'interfaccia utente. L'utente non vede né il testo né il numero del mittente.
Come funziona il crash
Il problema risiede nel componente WapPushOverSms, incaricato di decodificare i messaggi WAP Push. In pratica, il sistema legge un valore di lunghezza in formato a 64 bit, ma lo converte in un intero a 32 bit senza verificare che il valore rientri in un intervallo valido. Un valore appositamente scelto diventa negativo dopo la conversione (nello specifico, -2147483648), e il sistema tenta di allocare un array di dimensione negativa. A quel punto, Java lancia un'eccezione NegativeArraySizeException e il processo com.android.phone va in crash.
Il riavvio del processo richiede solo un paio di secondi, ma anche questa breve interruzione è sufficiente per far cadere una chiamata vocale in corso. Il vero problema, però, è che il messaggio danneggiato rimane nella coda interna degli SMS e viene riprocessato al riavvio successivo, innescando un nuovo crash. Un solo SMS può causare un ciclo di riavvii senza che l'attaccante debba inviare altro.
Chi è a rischio (e chi no)
La vulnerabilità è stata riprodotta su dispositivi con versioni di Android dalla 12 alla 16, e il ricercatore ritiene che il range interessato sia Android 12–17. Google ha rilasciato una correzione il 15 giugno, inclusa nel bollettino di sicurezza di ottobre 2026 per Android 14, 15, 16 e 17.
Il punto dolente è per i dispositivi più vecchi: Android 12 e 13 non riceveranno la patch ufficiale, perché hanno raggiunto la fine del ciclo di supporto (EOL). Se il produttore non ha rilasciato un aggiornamento firmware eccezionale, questi telefoni rimarranno permanentemente esposti.
Cosa puoi fare se hai un telefono non patchato
Al momento non esiste un modo per "disattivare" il WAP Push a livello di sistema tramite impostazioni o codici segreti: l'elaborazione avviene nel framework di telefonia, prima che il messaggio raggiunga qualsiasi app di messaggistica. Le contromisure praticabili sono due, entrambe orientate a limitare i danni una volta che il crash si è verificato.
1. WapGuard (senza root, richiede Shizuku)
È un'app open source che, tramite l'autorizzazione Shizuku, esegue gli stessi passaggi di pulizia che si farebbero manualmente via ADB. Individua nella coda content://sms/raw i messaggi WAP Push rimasti "bloccati" per più di due minuti e li elimina, impedendo che vengano riprocessati al riavvio. Non previene il crash, ma evita che un singolo messaggio si trasformi in un ciclo infinito di riavvii. Su Android 12 e 13, dove non esiste patch, è l'unica mitigazione software disponibile senza root.
2. WapVoid (richiede root e LSPosed)
Se il tuo dispositivo è rootato, questo modulo LSPosed aggancia il processo com.android.phone e neutralizza l'eccezione alla radice, impedendo il crash del servizio telefonico. È la soluzione più efficace, ma richiede una configurazione più invasiva.
In entrambi i casi, se il telefono è già bloccato in un loop, il recupero manuale via ADB (con un computer) è possibile, ma richiede un intervallo di tempo in cui Android riesce a caricarsi prima del crash successivo. Il ripristino delle impostazioni di fabbrica va evitato come prima opzione, perché non rimuove il messaggio dalla coda e causa solo la perdita dei dati locali.
In conclusione
"SMS of Death" è un promemoria di quanto sia critica la filiera degli aggiornamenti di sicurezza. Se hai un telefono con Android 14 o superiore e hai installato la patch di ottobre 2026, puoi stare relativamente tranquillo. Se invece usi un dispositivo con Android 12 o 13 (come il mio Redmi Note 10 5G), la protezione ufficiale non arriverà: l'unica strada è monitorare la coda degli SMS con strumenti come WapGuard, oppure, se la stabilità delle chiamate è una priorità, considerare il passaggio a un dispositivo ancora supportato.
La pubblicazione del codice di exploit rende la verifica alla portata di chiunque, ma abbassa anche la soglia per possibili abusi. Come sempre, la prevenzione migliore resta tenere il sistema aggiornato, se e quando gli aggiornamenti esistono ancora.
