Une vulnérabilité critique d'Android, « SMS of Death », fait planter les téléphones à distance via un SMS invisible, perturbant les appels et bloquant les appareils en boucle.
Vulnérabilité d'Android surnommée « SMS de la mort »
Une vulnérabilité d'Android, connue sous le nom de « SMS de la mort », permet de faire planter un smartphone à distance avec un seul SMS invisible. Cette faille peut également perturber les appels d'urgence et a été identifiée dans le composant de téléphonie central du système d'exploitation Android.Un chercheur en sécurité a signalé la faille à Google
La vulnérabilité a été signalée à Google le 5 mai 2026 par un chercheur en sécurité, qui a détaillé le problème dans un dépôt GitHub. L'information a été rendue publique le 29 octobre, et un code d'attaque librement téléchargeable a également été diffusé.Google a publié un correctif dans la mise à jour d'octobre
Google a publié un correctif dans la mise à jour de sécurité d'octobre 2026, mais seules les versions les plus récentes d'Android (de la 14 à la 17) en bénéficient. Les versions antérieures, comme Android 12 et 13, restent vulnérables et ne reçoivent plus de mises à jour.La faille provient de la manière dont Android traite les SMS WAP Push
La faille découle de la façon dont Android lit une catégorie spécifique de SMS, appelée WAP Push. Ces messages servent à transmettre des informations en arrière-plan, comme l'arrivée d'un MMS. Android lit l'en-tête de chaque message, qui indique sa taille, sans effectuer de vérification.L'attaque exploite un calcul de taille incorrect
Un message piégé de quelques octets seulement annonce une taille exagérée qui, une fois convertie par Android, devient un nombre négatif. Le système tente alors de réserver un espace mémoire de taille négative, ce qui est impossible. Il en résulte un plantage du service d'appels et de réseau, com.android.phone.Une attaque « zero-click » ne nécessite que le numéro de téléphone de la victime
L'attaque est classée comme « zero-click », ce qui signifie que la victime n'a rien à faire. Il n'y a ni lien à cliquer ni pièce jointe à ouvrir. L'attaquant n'a besoin que du numéro de téléphone de la victime, et le message n'apparaît pas dans l'application Messages. L'expéditeur reste anonyme.L'attaque peut provoquer des plantages répétés et des boucles de redémarrage
Lors des tests, un seul SMS a causé des pannes intermittentes pendant une semaine. Une vingtaine d'envois ont rendu l'appareil complètement inutilisable pendant longtemps. Le message piégé reste en attente et est rejoué à chaque démarrage de l'appareil, ce qui peut entraîner un redémarrage en boucle du smartphone toutes les 90 secondes.La victime doit utiliser ADB pour supprimer le message
Pour sortir de la boucle sans perdre de données, la victime doit connecter le téléphone à un ordinateur et supprimer les messages défectueux à l'aide d'ADB, un outil destiné aux développeurs. Cette opération doit être effectuée dans un court laps de temps après chaque démarrage. Sinon, une réinitialisation d'usine pourrait être nécessaire.Les réglementations australiennes pourraient être détournées par les attaquants
En Australie, la réglementation oblige les opérateurs mobiles à déconnecter les appareils qui ne peuvent pas appeler le 000, le numéro d'urgence local. Cette règle pourrait être exploitée par des attaquants qui utiliseraient des SMS piégés pour bannir le téléphone de la victime du réseau, ce qui pourrait entraîner un blocage du service.Le correctif ne s'applique qu'aux versions récentes d'Android
Le correctif, rédigé par un ingénieur le 15 juin 2026, a été intégré à la mise à jour de sécurité d'octobre. Cependant, il ne s'applique qu'à Android 14 à 17. Les versions plus anciennes, comme Android 12 et 13, ne sont pas protégées et restent vulnérables.Le code d'attaque a gagné en popularité sur GitHub
Le chercheur a publié l'intégralité du code d'attaque sur GitHub, et en deux jours seulement, le projet a recueilli plus de 300 étoiles et 71 bifurcations. L'application prête à l'emploi permet à d'autres personnes d'exploiter la vulnérabilité facilement.Les utilisateurs doivent vérifier la présence du correctif de sécurité d'octobre 2026
Pour s'assurer que leur appareil est protégé, les utilisateurs doivent vérifier le niveau de correctif de sécurité de leur téléphone. Celui-ci doit indiquer octobre 2026 ou une date plus récente. Si un téléphone ne reçoit plus de mises à jour, il peut être temps d'envisager de le remplacer.
