Un chercheur en sécurité a dévoilé le 29 octobre 2026 une faille Android surnommée « SMS de la mort » (SMS of Death), référencée CVE-2026-58882. Un simple SMS invisible suffit à couper les appels en cours, y compris vers les secours, et une vingtaine de messages peuvent rendre un smartphone Android pratiquement inutilisable. Google a corrigé le problème pour Android 14 à 17, mais les appareils plus anciens restent exposés.
Qu’est-ce que la faille « SMS de la mort » sur Android ?
La faille « SMS de la mort » est une vulnérabilité du système Android qui permet de faire planter le service téléphonique d’un smartphone à distance. Elle a été découverte par Mark Blaszczyk, un chercheur indépendant en cybersécurité. Elle porte l’identifiant CVE-2026-58882, le numéro unique attribué aux failles de sécurité recensées dans le monde.
Il s’agit d’une attaque dite « zéro clic » : la victime n’a rien à faire, ni ouvrir un message, ni toucher un lien. C’est l’équivalent d’une lettre piégée qui agirait dès qu’elle tombe dans la boîte aux lettres, sans même être ouverte. Le chercheur parle d’un déni de service, c’est-à-dire une attaque qui ne vole pas de données mais empêche l’appareil de fonctionner.
Le SMS malveillant reste totalement invisible. Il n’apparaît pas dans l’application de messagerie, ne déclenche aucune notification et ne révèle pas le numéro de l’expéditeur.
Comment un simple SMS peut-il bloquer un téléphone ?
L’attaque passe par un type de SMS peu connu du grand public : le WAP Push. Ce format ancien sert surtout aux opérateurs mobiles pour envoyer des réglages ou des instructions techniques au téléphone, sans intervention de l’utilisateur. Android lit donc ces messages automatiquement, en arrière-plan.
Le problème se situe dans la lecture de l’en-tête du message, la petite zone qui annonce la taille des données qui suivent. En manipulant une séquence de cinq octets, un attaquant pousse Android à calculer une taille négative. Le système tente alors de réserver un espace mémoire impossible, ce qui provoque une erreur non gérée.
Cette erreur fait planter com.android.phone, le processus qui gère les appels et la connexion au réseau mobile. Le chercheur affirme avoir reproduit le plantage dans 100% des cas sur un Google Pixel 9 et sur plusieurs smartphones Samsung Galaxy.
Quelles sont les conséquences pour l’utilisateur ?
Un seul message suffit à couper un appel en cours, y compris un appel vers les services d’urgence. Le service téléphonique redémarre ensuite en une à deux secondes environ, ce qui coupe brièvement l’accès au réseau.
La situation s’aggrave avec plusieurs messages. Comme le téléphone ne confirme pas leur réception, l’opérateur les renvoie, et Android tente de les traiter à nouveau à chaque démarrage. Voici les effets décrits par le chercheur :
- une coupure immédiate des appels en cours, appels d’urgence compris ;
- une vingtaine de messages suffisent à rendre l’appareil pratiquement inutilisable ;
- sans correctif, un redémarrage du téléphone environ toutes les 90 secondes ;
- une bascule possible vers le mode de récupération, qui propose d’effacer toutes les données ;
- lors des tests, un seul SMS a provoqué des pannes pendant jusqu’à une semaine.
Aucune exploitation de la faille par des cybercriminels n’a été signalée à ce stade. Le chercheur a toutefois publié un code de démonstration, ce qui facilite la reproduction de l’attaque.
Quelles versions d’Android sont concernées ?
Selon le chercheur, la faille touche Android 12 à Android 17, soit les versions sorties depuis 2021. Google a intégré un correctif dans la mise à jour de sécurité d’octobre 2026 pour Android 14, 15, 16 et 17.
Android 12 et Android 13 ne devraient pas recevoir de correctif, sauf initiative de certains fabricants. Les smartphones qui ne reçoivent plus de mises à jour restent donc vulnérables. Le calendrier dépend aussi de chaque constructeur et de chaque opérateur, qui décident du moment où les correctifs arrivent sur les appareils.
| Version d’Android | Situation |
|---|---|
| Android 12 et 13 | Vulnérables, pas de correctif prévu par Google |
| Android 14 à 17 | Corrigés avec la mise à jour de sécurité d’octobre 2026 |
Comment Google a-t-il réagi au signalement ?
Mark Blaszczyk a signalé la faille à Google le 5 mai 2026. L’entreprise a d’abord classé le rapport sans suite, en estimant qu’il ne s’agissait pas d’un problème de sécurité. Un correctif a pourtant été préparé dès le 15 juin 2026.
Google n’a pas retenu la solution proposée par le chercheur, qui consistait à vérifier la longueur indiquée dans l’en-tête. L’entreprise a préféré renforcer la gestion des erreurs : les messages mal formés sont désormais interceptés puis retirés de la file d’attente, au lieu de faire planter le service téléphonique.
Le correctif a été distribué en octobre 2026 sans figurer dans le bulletin de sécurité du mois. D’après les développeurs du système alternatif GrapheneOS, la faille sera officiellement listée, avec un niveau de gravité critique, dans le bulletin de sécurité Android de novembre 2026.
Que faire si votre smartphone Android est touché ?
Le premier réflexe consiste à installer la dernière mise à jour de sécurité disponible. Elle se trouve en général dans les paramètres du téléphone, rubrique Sécurité ou Mise à jour du logiciel. La date du correctif de sécurité doit être octobre 2026 ou plus récente.
Si le téléphone redémarre déjà en boucle, il ne faut pas choisir l’option d’effacement des données dans le mode de récupération. Une réinitialisation ne règle pas forcément le problème, car l’opérateur peut renvoyer le message piégé au démarrage. Le chercheur décrit une méthode qui supprime les messages en cause grâce à ADB (Android Debug Bridge), un outil qui permet de piloter le téléphone depuis un ordinateur, sans effacer les données.
Cette procédure suppose cependant que le débogage ait été activé à l’avance, ce qui est rarement le cas. La prochaine étape est attendue début novembre 2026, avec la publication du bulletin de sécurité Android qui doit officialiser la faille CVE-2026-58882.
