Android : ce SMS invisible peut faire planter votre smartphone sans que vous puissiez réagir
Une faille de sécurité baptisée « SMS of Death » permet de perturber le fonctionnement d’un smartphone Android en lui envoyant un message spécialement conçu pour provoquer un plantage. L’attaque ne nécessite aucune intervention de la victime et peut interrompre les appels en cours, y compris ceux destinés aux services d’urgence. Google a intégré un correctif à ses mises à jour de sécurité d’octobre 2026 pour Android 14 à 17, mais les appareils sous Android 12 et 13 restent exposés selon les informations publiées par le chercheur.
Un SMS invisible qui fait tomber le service téléphonique
Les SMS ne servent pas uniquement à envoyer des messages entre utilisateurs. Android prend également en charge des formats techniques, dont les messages WAP Push, qui permettent notamment de transmettre certains contenus et notifications en arrière-plan. C’est précisément dans le traitement de ces messages que se trouve la vulnérabilité baptisée « SMS of Death », associée à la référence CVE-2026-58882.
Le chercheur en cybersécurité Mark Blaszczyk, qui publie ses travaux sous le nom de Mark Blah, a détaillé le fonctionnement de cette faille le 29 octobre 2026. Il avait auparavant signalé le problème à Google, le 5 mai, par l’intermédiaire du programme de signalement des vulnérabilités Android.
Contrairement à une campagne de phishing classique, cette attaque ne repose ni sur un lien frauduleux ni sur une application piégée. La victime n'a rien à ouvrir ou à installer. Le message est traité par le système avant même d'apparaître dans la boîte de réception, ce qui empêche l'utilisateur de repérer facilement son origine.
La vulnérabilité se situe dans la fonction WapPushOverSms.decodeWapPdu, chargée de décoder ces messages techniques. Lorsqu'Android analyse l'en-tête d'un message malformé, il interprète une valeur indiquant sa longueur sans vérifier correctement qu'elle est valide. Une conversion numérique transforme alors cette valeur en un nombre négatif particulièrement élevé en valeur absolue.
Le système tente ensuite de créer un espace mémoire correspondant à cette taille impossible. Cette opération déclenche une exception appelée NegativeArraySizeException, qui provoque l'arrêt du processus com.android.phone. Celui-ci joue un rôle essentiel dans la gestion des communications cellulaires.
Le problème ne se limite donc pas à un simple plantage de l'application Messages. C'est une partie du système chargée de la téléphonie qui cesse de fonctionner, avec des conséquences directes sur la connexion au réseau mobile.
Les appels peuvent être coupés sans avertissement
Le premier effet de l'attaque est une interruption du service téléphonique. Lorsque le processus concerné plante, le smartphone peut perdre temporairement sa connexion au réseau, puis la retrouver après le redémarrage du service. Selon les essais rapportés par le chercheur, chaque message malveillant peut provoquer une coupure de l'ordre d'une à deux secondes.
Même brève, cette interruption suffit à mettre fin à une conversation téléphonique en cours. Le risque concerne également les appels d'urgence : une communication avec les secours peut être interrompue si le service téléphonique s'effondre au mauvais moment.
La faille ne permet pas, à elle seule, de prendre le contrôle du smartphone, de dérober des fichiers ou d'installer un logiciel espion. Il s'agit d'une attaque par déni de service à distance, dont l'objectif est de rendre les communications indisponibles ou de perturber durablement le fonctionnement de l'appareil.
Sa particularité tient surtout à l'absence d'interaction nécessaire. L'attaquant n'a pas besoin que sa cible réponde au message, clique sur un lien ou accorde une autorisation. Il suffit que le smartphone traite le message spécialement conçu pour déclencher le dysfonctionnement.
Des messages répétés peuvent rendre le smartphone inutilisable
Les conséquences peuvent devenir plus sérieuses si l'attaque est répétée. D'après les essais de Mark Blah, le traitement d'un message piégé peut être relancé lorsque l'opérateur tente de le distribuer à nouveau ou lorsque le système essaie de traiter un message déjà enregistré sur l'appareil.
Un téléphone peut alors subir plusieurs interruptions successives, sans que son propriétaire comprenne immédiatement ce qui les provoque. Le problème est d'autant plus difficile à diagnostiquer que le message responsable ne s'affiche pas nécessairement dans la boîte de réception.
Le chercheur indique également que l'envoi d'une vingtaine de messages malformés a suffi à provoquer des dysfonctionnements persistants sur les appareils testés. Sur un smartphone sous Android 12, l'appareil redémarrait en boucle vers le mode de récupération, avec des redémarrages espacés d'environ 90 secondes.
Dans une telle situation, le propriétaire peut se retrouver face à un téléphone difficile, voire impossible, à utiliser normalement. Une réinitialisation aux paramètres d'usine peut devenir nécessaire, avec le risque de perdre les données qui n'ont pas été sauvegardées.
Il existe une autre possibilité pour tenter de récupérer les messages responsables du problème, en passant par Android Debug Bridge (ADB). Cet outil permet d'interagir avec le système depuis un ordinateur, mais son utilisation suppose des connaissances techniques et un accès adapté au téléphone. Il ne s'agit donc pas d'une solution simple pour la majorité des utilisateurs.
Ces scénarios correspondent aux résultats rapportés par le chercheur lors de ses tests. Ils ne signifient pas que tous les smartphones vulnérables subiront automatiquement une boucle de redémarrage après la réception d'un message.
Google a corrigé la faille, mais tous les smartphones ne sont pas protégés
Mark Blah affirme avoir signalé la vulnérabilité à Google le 5 mai 2026. Selon son récit, le problème n'a pas été considéré dans un premier temps comme une faille de sécurité nécessitant une intervention. Un correctif a néanmoins été développé par la suite, avec une modification destinée à empêcher le plantage du processus téléphonique.
Cette correction, intitulée « Fix remote DoS in decodeWapPdu », intercepte les exceptions déclenchées lors du traitement des messages malformés. Elle prévoit également la suppression des messages responsables dans la base de données SMS, afin d'éviter que le système ne les traite de nouveau et ne provoque une nouvelle panne.
Le correctif a été intégré aux mises à jour de sécurité d'octobre 2026 pour Android 14, Android 15, Android 16 et Android 17, d'après les informations communiquées par le chercheur et relayées par la presse spécialisée.
Un point mérite toutefois d'être souligné : la vulnérabilité n'apparaît pas dans le bulletin de sécurité Android d'octobre consulté par plusieurs médias. L'existence du correctif dans le code ne signifie donc pas que toutes les versions distribuées par les fabricants sont nécessairement protégées au même moment. La disponibilité réelle dépend notamment du modèle de smartphone, du constructeur et du calendrier de déploiement des mises à jour.
Les appareils sous Android 12 et Android 13 constituent le principal point de vigilance. Ces versions ne bénéficient pas du correctif annoncé dans le cadre des mises à jour d'octobre et restent donc potentiellement vulnérables. Le risque concerne aussi les appareils plus récents qui n'ont pas encore reçu une version intégrant la correction.
Comment vérifier si son smartphone est protégé ?
La première précaution consiste à ouvrir les paramètres du smartphone, puis la rubrique consacrée aux mises à jour logicielles et de sécurité. Sur de nombreux modèles Android, le niveau du correctif de sécurité est indiqué dans les informations sur le téléphone ou dans les paramètres de sécurité.
Les utilisateurs d'Android 14 à 17 doivent installer la dernière mise à jour proposée par leur fabricant et vérifier que le correctif de sécurité d'octobre 2026, ou une version ultérieure intégrant la correction, est disponible. Un redémarrage peut être nécessaire pour terminer l'installation.
Il faut cependant garder à l'esprit que la date du correctif affichée ne garantit pas, à elle seule, que chaque appareil a reçu exactement les mêmes modifications. Les fabricants peuvent adapter leurs mises à jour et les déployer à des dates différentes. En cas de doute, mieux vaut consulter les informations de sécurité publiées pour le modèle concerné.
Pour les smartphones sous Android 12 ou Android 13, la situation est plus préoccupante si aucune correction n'est disponible. Si le constructeur ne fournit plus de mises à jour de sécurité, le téléphone risque de rester exposé à cette vulnérabilité, en plus d'autres failles susceptibles d'être découvertes à l'avenir.
Un exploit désormais public
La publication des travaux du chercheur change également la donne. Mark Blah a rendu disponible une démonstration technique de l'attaque, permettant à d'autres spécialistes d'en étudier le fonctionnement et de reproduire le problème sur des appareils vulnérables.
La diffusion d'une preuve de concept ne signifie pas nécessairement que la faille est exploitée à grande échelle par des cybercriminels. Au moment de la publication des informations, aucune exploitation dans la nature n'était confirmée par les sources consultées. Elle facilite toutefois la reproduction de l'attaque et rend plus importante l'installation des correctifs disponibles.
Le cas du « SMS of Death » rappelle enfin que les risques liés aux messages ne se limitent pas aux arnaques qui cherchent à voler des identifiants ou des coordonnées bancaires. Un message spécialement conçu peut aussi exploiter une erreur dans le traitement d'une donnée par le système d'exploitation, sans que son destinataire ait la moindre occasion de réagir.
Pour les propriétaires de smartphones Android, l'essentiel est donc de vérifier l'état des mises à jour et de ne pas confondre la réception automatique d'un correctif avec son installation effective. Pour les appareils qui ne reçoivent plus de mises à jour, le risque est plus difficile à éliminer, faute de solution officielle annoncée pour Android 12 et 13.