L'SMS che blocca Android senza che tu lo veda: cosa c'è di vero

Un ricercatore di sicurezza ha mostrato come un SMS costruito apposta possa far cadere le chiamate su Android, anche quelle di emergenza, senza che il messaggio compaia mai sul telefono. Google ha già una correzione in arrivo.

Perché conta

Il difetto riguarda il modo in cui Android gestisce gli SMS a un livello così di base che non serve cliccare né aprire nulla: tocca in teoria chiunque usi un telefono Android con una versione tra la 12 e la 16, anche se l'impatto reale resta un servizio che si interrompe per pochi secondi, non un furto di dati.

In pratica

Controlla nelle Impostazioni del telefono la data del livello di patch di sicurezza e installa gli aggiornamenti di sistema quando arrivano: è la correzione a questo tipo di difetti, non un'azione che puoi fare tu sul singolo messaggio.

Un ricercatore di sicurezza che si firma Mark B ha pubblicato i dettagli di un difetto di Android che permette di far crashare il servizio che gestisce le chiamate con un solo SMS, costruito in un formato speciale che il telefono non mostra mai nella casella dei messaggi. Lo ha chiamato lui stesso "SMS of Death", sul sito dove ha pubblicato la ricerca (smsofdeath.com). In italiano circola come "l'SMS della morte": il nome è suo, non un'esagerazione nostra.

Cosa succede davvero

Il problema sta in un pezzo di codice di Android, `WapPushOverSms`, che si occupa di un tipo particolare di SMS (i WAP Push, usati per esempio per avvisare di un messaggio in segreteria o di un MMS in arrivo). Quel codice legge la lunghezza di una parte del messaggio e, se è costruita in un certo modo, finisce per calcolare un numero negativo dove si aspettava solo numeri positivi: il programma va in crash. Il processo che cade, `com.android.phone`, è quello che gestisce le chiamate: per uno o due secondi si riavvia da solo e, nel frattempo, una chiamata in corso (anche al 112) può interrompersi. Il messaggio non arriva come un SMS normale e non compare da nessuna parte: chi lo riceve non deve cliccare né aprire niente, e spesso non si accorge di nulla, a parte magari una chiamata che cade. Il ricercatore dice di essere riuscito a far crashare così dei Google Pixel e degli Samsung Galaxy con Android dalla versione 12 alla 16, e racconta che ripetere l'invio (una ventina di messaggi, nella sua stima) può tenere il telefono in un ciclo di blocchi più lungo.

Cosa non fa

Non è un modo per rubare dati o installare qualcosa sul telefono: è un difetto che blocca un servizio (in gergo si chiama "denial of service"), non una falla che dia accesso ai tuoi file o alle tue password. Il rischio concreto è restare senza linea per qualche secondo, o nei casi più insistenti dover riavviare il telefono.

Cosa dice Google

Secondo il sito del ricercatore, la segnalazione è arrivata a Google il 5 maggio 2026 e una correzione è stata scritta il 15 giugno, visibile pubblicamente nel codice di Android (un commit al progetto open source, consultabile online). Il bollettino di sicurezza di Google di novembre 2026, pubblicato il 2 novembre, elenca una correzione ad alta gravità per un problema di tipo denial-of-service nel componente telefonia (sigla CVE-2026-58883) per Android 16-QPR2 e 17, senza però descrivere nel dettaglio in cosa consista l'attacco: non è quindi confermato con certezza da Google che sia esattamente lo stesso problema descritto dal ricercatore, che invece parla di un codice diverso (CVE-2026-58882, secondo la testata eSecurityPlanet) e di versioni più vecchie, dalla 12 alla 16. È possibile che il bollettino di novembre copra solo le versioni più recenti e che una correzione per quelle precedenti sia già in un aggiornamento passato: il sito del ricercatore indica il bollettino di ottobre per Android 14-17. In ogni caso, Android 12 e 13, che non ricevono più aggiornamenti di sicurezza regolari, resterebbero esposti.

Cosa puoi fare

Non c'è nulla da cliccare né da disattivare: la correzione arriva con gli aggiornamenti di sistema. La cosa utile è controllare, in Impostazioni, la data del livello di patch di sicurezza del telefono (di solito sotto "Informazioni sul telefono" o "Sicurezza") e installare gli aggiornamenti quando il telefono li propone. Su un telefono che non riceve più aggiornamenti di sicurezza da tempo, questo è uno dei tanti motivi in più per valutare il passaggio a un modello più recente o supportato.

Android riceve correzioni di sicurezza ogni mese, e la maggior parte non fa notizia. Questa l'ha fatta perché il bug colpisce una funzione di base — le chiamate, comprese quelle di emergenza — senza che l'utente debba fare nulla di sbagliato.