Un solo SMS può mandare in crash un telefono Android: Android 12 e 13 non riceveranno una correzione

Un ricercatore ha pubblicato il codice funzionante di un attacco che sfrutta una vulnerabilità di Android: chiunque conosca il tuo numero può mandare in crash il telefono con un solo SMS. Soprannominato «SMS della morte», il messaggio non compare mai nella posta in arrivo e non richiede alcun tocco sullo schermo. Mette fuori uso la componente di Android che gestisce le chiamate e il segnale mobile, interrompendo qualsiasi telefonata in corso, comprese quelle ai servizi di emergenza. Google ha corretto il problema nelle versioni attuali di Android, ma i telefoni più vecchi che non ricevono più aggiornamenti di sicurezza resteranno esposti.

Per la maggior parte delle persone la domanda è semplice: il telefono ha installato l’ultimo aggiornamento di sicurezza? Il bug si trova nel codice di base di Android che gestisce la telefonia, distribuito da tutti i produttori, quindi non riguarda un solo marchio. Il ricercatore, che pubblica con il nome di Mark B, afferma di aver riprodotto il crash ogni volta su un Google Pixel e su diversi Samsung Galaxy, compresi i modelli più economici della serie A, che non avevano ancora ricevuto la correzione.

L’attacco sfrutta WAP Push, un vecchio formato di messaggistica che gli operatori usano per inviare impostazioni ai telefoni in background. Un messaggio malformato induce Android a cercare di riservare una quantità negativa di memoria, mandando in crash il processo che gestisce chiamate e segnale. Ogni messaggio lascia la vittima senza servizio per un secondo o due. Il danno vero, però, deriva dalla ripetizione. Gli operatori continuano a reinviare i messaggi a cui il telefono non ha risposto e, nei test del ricercatore, un singolo messaggio ha provocato interruzioni intermittenti per una settimana. Una ventina di messaggi ha reso un telefono inutilizzabile.

I messaggi manomessi restano in coda e vengono elaborati di nuovo a ogni avvio. Durante i test, un telefono con Android 12 si è riavviato in modalità di ripristino circa ogni 90 secondi: un ciclo da cui un utente comune sarebbe potuto uscire soltanto ripristinando le impostazioni di fabbrica e cancellando così il dispositivo. Un collaboratore del progetto che usa il nome Sakis ha trovato un modo per eliminare soltanto i messaggi responsabili del problema, ma servono un computer, gli strumenti per sviluppatori di Android e una certa rapidità nel breve intervallo dopo ogni riavvio.

Il ricercatore inquadra il problema attorno al numero di emergenza australiano Triple Zero e segnala una conseguenza secondaria piuttosto insolita. Le norme australiane impongono agli operatori di individuare i telefoni che non riescono a contattare i servizi di emergenza e, infine, di disconnetterli; Telstra dichiara di bloccare questi dispositivi se la situazione non cambia entro 28 giorni. Secondo il ricercatore, un aggressore in grado di impedire a comando le chiamate di emergenza potrebbe far sì che sia il telefono della vittima a venire escluso dalla rete.

L’allarme va comunque ridimensionato. Si tratta di un attacco denial-of-service, non di un’intrusione: il messaggio non può leggere i tuoi dati, installare nulla né prendere il controllo del telefono. All’aggressore servono il tuo numero e un modo per inviare messaggi di dati grezzi; lo strumento pubblicato li spedisce da un altro telefono Android con una SIM, lasciando una traccia presso l’operatore. Finora non sono state diffuse segnalazioni pubbliche di attacchi contro persone reali. Come ha osservato BleepingComputer, inoltre, il bollettino di sicurezza di ottobre di Google non menziona la correzione: i possessori di telefoni più vecchi non hanno quindi ricevuto alcun avviso ufficiale del fatto che i loro dispositivi siano esposti.

Per verificare, apri Impostazioni, vai su Informazioni sul telefono o Sicurezza e controlla la data dell’aggiornamento di sicurezza Android. Qualsiasi aggiornamento del mese di ottobre 2026 o successivo include la correzione. Samsung, Motorola, Xiaomi e gli altri produttori distribuiscono le patch secondo i propri calendari e gli operatori possono ritardarle: perciò anche un telefono con una versione più recente di Android potrebbe essere ancora in attesa. Per i dispositivi fermi ad Android 12 o 13, l’unica protezione completa è passare a un telefono che continui a ricevere aggiornamenti.

Il ricercatore ha segnalato la vulnerabilità al programma di ricompense di Google per le vulnerabilità di Android il 5 maggio. Un ingegnere di Google ha scritto la correzione a metà giugno, che è stata poi inclusa nell’aggiornamento di sicurezza di ottobre 2026 per Android dalla versione 14 alla 17. L’analisi pubblica e la prova di concetto sono state rese disponibili il 29 ottobre. Google non ha aggiunto il controllo sulla lunghezza proposto dal ricercatore: la sua patch intercetta il crash ed elimina il messaggio responsabile, impedendo che possa attivarsi di nuovo.

I telefoni Android più vecchi si trovano così in una situazione singolare. Continuano a fare normalmente le chiamate. Semplicemente, non si può fare affidamento sul fatto che riescano a portarle a termine.

Tag: Google, sicurezza informatica, Android, Google Pixel, Samsung Galaxy, BleepingComputer