«SMS of Death»: l'SMS che blocca Android in riavvio continuo

Cosa è successo

Il ricercatore Mark Blah ha pubblicato i dettagli di una falla di Android, la CVE-2026-58882, e un programma dimostrativo (proof-of-concept) su GitHub. È un attacco "zero-click": non serve aprire nulla.

Basta un SMS di servizio malformato, un WAP Push, che Android elabora prima che arrivi nella posta in arrivo. Per questo chi lo riceve non vede nessun messaggio sospetto.

Il difetto è in una funzione che legge la lunghezza dell'intestazione senza controllare i limiti: il valore diventa negativo e il processo telefonico di Android si ferma.

Cosa succede al telefono

Il servizio cellulare si interrompe, così come le chiamate in corso, comprese quelle di emergenza.

Se il messaggio viene rielaborato, il blocco si ripete. In un test riportato da BleepingComputer, 20 messaggi hanno messo un telefono in riavvio continuo; su un Android 12 il telefono si riavviava in modalità di recupero (una modalità di emergenza del sistema, separata dall'uso normale) circa ogni 90 secondi e serviva il ripristino di fabbrica, che cancella tutto quello che non è salvato in un backup.

Un collaboratore su GitHub ha trovato un modo per togliere i messaggi con ADB, uno strumento per computer: richiede competenze avanzate.

Cosa fare adesso

Installa l'ultimo aggiornamento di sicurezza disponibile per il tuo telefono. Il bollettino ufficiale di sicurezza Android di novembre 2026 conferma la correzione (classificata «Critica», il massimo della scala Android) per Android da 14 a 17, con livello di patch dal 1° novembre 2026 in poi.

Se il tuo telefono ha Android 12 o 13, versioni ormai fuori dal supporto ufficiale di Google, nessuno dei due bollettini (ottobre e novembre 2026) elenca una correzione per loro, e BleepingComputer ha riprodotto il blocco proprio su un Android 12. Resta possibile — ma non confermato dalle fonti — che qualche produttore abbia corretto il problema per conto suo su telefoni con Android 13. Può servire un riavvio per finire l'installazione, e la disponibilità effettiva dell'aggiornamento dipende da produttore e operatore, anche per chi ha Android 14-17.

1. Controlla la data dell'aggiornamento di sicurezza. Su Pixel e Android «puro»: Impostazioni → Informazioni sullo smartphone → Versione di Android. Su Samsung: Impostazioni → Informazioni sul telefono → Informazioni software.
2. Pixel e Android «puro»: torna in Impostazioni, poi Sistema → Aggiornamenti software, e cerca aggiornamenti.
3. Samsung: qui il menu Sistema non esiste — vai dritto su Impostazioni → Aggiornamento software.

Cosa non si sa ancora

Tempi della segnalazione. Alcune testate non lette per intero (technews.tw, Digital Trends, SmartWorld) scrivono che il ricercatore avrebbe avvisato Google a maggio e che Google l'avrebbe giudicata non di sicurezza. Non è confermato da una fonte ufficiale: i bollettini Android non parlano di cronologia.

Sfruttamento reale. La scheda ufficiale CISA, aggiornata il 6 novembre 2026, classifica lo sfruttamento come «none» (nessuno noto finora) e la falla come automatizzabile. Non sappiamo invece quali marche abbiano già distribuito l'aggiornamento ai propri telefoni, se gli operatori possano filtrare questi messaggi, né quanti utenti in Italia siano esposti.