SMS of Death: un messaggio da 8 byte blocca Android ed elimina le chiamate di emergenza

Il ricercatore di sicurezza noto come Mark Blah o Blaszczyk ha pubblicato il 29 ottobre 2026 i dettagli di CVE-2026-58882, una vulnerabilità zero-click nel processore WAP Push SMS di Android. Nessun bollettino ufficiale Google è disponibile per questa falla; tutte le informazioni derivano da fonti editoriali convergenti. La criticità del difetto non sta solo nella semplicità dell'attacco, ma nelle conseguenze sistemiche: il crash del processo com.android.phone interrompe le chiamate attive, comprese quelle ai numeri di emergenza, e può intrappolare il dispositivo in un ciclo di riavvio persistente. Questa storia è soprattutto una fotografia della frammentazione del patching Android e dei limiti della divulgazione coordinata quando il vendor omette il CVE dai bollettini ufficiali.

Google ha corretto la vulnerabilità nell'aggiornamento di sicurezza di ottobre 2026 per Android 14, 15, 16 e 17, ma ha omesso il CVE dal bollettino ufficiale. Android 12 e 13 non ricevono la patch. La divulgazione pubblica include un proof-of-concept exploit, rendendo replicabile l'attacco. La severità è classificata Critical, ma il punteggio numerico CVSS non è stato reso pubblico da Google.

Il meccanismo: overflow da long a int nel parser WAP Push

La vulnerabilità risiede nella funzione decodeWapPdu del componente WapPushOverSms, responsabile della decodifica dei messaggi WAP Push ricevuti via SMS dati sulla porta 2948. Il payload malevolo, la sequenza esatta 01 06 88 80 80 80 00 BE, sfrutta un'impropria conversione del tipo di dati: il valore 0x80000000 (2.147.483.648 come unsigned long) viene interpretato come intero con segno a 32 bit, producendo -2.147.483.648.

Questo valore viene utilizzato come dimensione per l'allocazione di un array, scatenando una NegativeArraySizeException che termina il processo com.android.phone. Secondo i test del ricercatore, il riavvio del servizio telefonico richiede tipicamente 1-2 secondi, durante i quali il dispositivo perde completamente la connettività cellulare. Blaszczyk ha riportato una percentuale di riproduzione del 100% su dispositivi Google Pixel e Samsung Galaxy.

Il messaggio malformato non genera notifica né compare nella casella di posta SMS: viene processato a livello di sistema prima che l'utente ne abbia consapevolezza. Questa caratteristica rende l'attacco completamente invisibile alla vittima, che non può adottare alcun comportamento difensivo preventivo.

Dalla negazione al silenzio: il caso del 5 maggio

La cronologia della gestione della vulnerabilità rivela un percorso non lineare all'interno del processo di risposta di sicurezza di Google. Blaszczyk ha segnalato il difetto il 5 maggio 2026; secondo quanto riportato da Android Authority, Google lo ha inizialmente classificato ripetutamente come "non-security issue", escludendolo dal programma di bug bounty e ritardando l'attribuzione di priorità.

La correzione è stata comunque implementata nel codice sorgente Android Open Source Project il 15 giugno 2026, ma il percorso verso la distribuzione è risultato frammentato. L'aggiornamento di ottobre 2026 ha incluso la patch per Android 14-17, ma CVE-2026-58882 non compare nel bollettino di sicurezza di quel mese. GrapheneOS, distribuzione Android hardenata, ha chiarito che la vulnerabilità sarà inclusa nel bollettino di novembre 2026 e che ha già ricevuto la correzione tramite le anteprime di sicurezza di luglio 2026.

Questa discrepanza tra patch distribuita e documentazione ufficiale solleva interrogativi sulla trasparenza del processo di divulgazione di Google: gli amministratori di flotta e gli utenti che consultano i bollettini per verificare lo stato di sicurezza del proprio dispositivo non troverebbero indicazione del rischio corretto.

La trappola del bootloop e la barriera tecnica del recupero

L'impatto singolo del crash, sebbene immediato, è transitorio. La condizione critica emerge con la ricezione di circa 20 messaggi malformati: il sistema di resilienza RescueParty di Android, rilevando crash ripetuti del processo telefonico all'avvio, forza il dispositivo in modalità recovery. Il ricercatore ha documentato un dispositivo Android 12 che ripeteva questo ciclo ogni circa 90 secondi, rendendo il telefono completamente inutilizzabile.

"A single malformed WAP Push SMS crashes com.android.phone on Android, dropping active calls (including emergency calls), with zero interaction from the victim" — Mark Blaszczyk, ricercatore di sicurezza

Il recupero senza perdita dei dati richiede l'accesso tramite Android Debug Bridge (ADB), uno strumento di sviluppo che necessita di abilitazione preventiva delle opzioni sviluppatore e di debug USB, oppure di accesso alla recovery con capacità di manipolazione del database SMS. Questa procedura, documentata per la prima volta dal contributore GitHub Sakis, introduce una barriera di classe nella risposta alla vulnerabilità: gli utenti con competenze tecniche o supporto informatico possono recuperare i propri dati; gli altri affrontano il ripristino alle impostazioni di fabbrica con conseguente cancellazione.

Perché è importante

Fatti verificati: CVE-2026-58882 è una vulnerabilità DoS zero-click con impatto su chiamate di emergenza. Il proof-of-concept è pubblico. Android 12 e 13 non ricevono la patch. Google ha omesso il CVE dal bollettino ottobre 2026. Il ricercatore ha documentato una percentuale di riproduzione del 100% su dispositivi Pixel e Samsung Galaxy.

Analisi editoriale: Questa vulnerabilità espone due dinamiche sistemiche del patching Android. La prima è la frammentazione del supporto: versioni che ancora circolano nel parco installato restano senza correzione mentre il vendor concentra le risorse sulle release più recenti. La seconda è l'opacità della divulgazione coordinata: quando un vendor omette un CVE dal bollettino ufficiale, gli strumenti di gestione della postura di sicurezza — che si affidano a quei bollettini — non segnalano il rischio, creando una falsa sensazione di protezione. La combinazione di proof-of-concept pubblico, assenza di mitigazione per utenti non tecnici e mancata documentazione ufficiale trasforma una falla tecnicamente semplice in un problema di governance della sicurezza mobile.

Cosa fare adesso

Non esistono mitigazioni documentate per utenti non tecnici su Android 12-13. Gli utenti con dispositivi aggiornabili ad Android 14 o versioni successive devono verificare di aver installato l'aggiornamento di sicurezza di ottobre 2026 o successivo.

Per gli amministratori di flotta aziendale, la verifica dello stato di patch richiede di controllare la versione specifica del sistema operativo, non solo il livello di patch di sicurezza generico, dato che Google ha distribuito la correzione senza includere il CVE nel bollettino ufficiale.

Il ricercatore ha pubblicato il proof-of-concept con l'avvertenza che l'uso contro terzi costituisce reato, e che l'interferenza con la capacità di contattare i servizi di emergenza è un'infrazione penale grave nella maggior parte delle giurisdizioni.

Fonti e limiti della ricostruzione

Tutte le informazioni su CVE-2026-58882 derivano da fonti editoriali: BleepingComputer, eSecurity Planet, Cybernews, Android Authority e TechBytes. Nessun bollettino ufficiale Google menziona questa vulnerabilità. Non risulta alcun advisory ZDI o GHSL. Il nome del ricercatore appare come "Mark Blah" in alcune fonti e "Mark Blaszczyk" in altre; questa incertezza non è risolta. TechBytes dichiara esplicitamente di attingere a BleepingComputer; mezha.net appare aggregare contenuti di terze parti. Il punteggio CVSS numerico non è stato reso pubblico: le fonti indicano solo severità Critical.

Fonti

• bleepingcomputer.com
• esecurityplanet.com
• cybernews.com
• techbytes.app
• androidauthority.com
• mezha.net
• the420.in