Un SMS manipulé interrompt les appels en cours, divulgué le 29 octobre 2026 – Android 12 et 13 restent sans correctif
L’essentiel en bref
- Un seul SMS piégé fait planter le module téléphonique des smartphones Android sans la moindre intervention de la destinataire ou du destinataire et interrompt les appels en cours, y compris les appels d’urgence.
- Selon le chercheur en sécurité, Android 12 à 17 sont concernés ; Google a comblé la faille dans la mise à jour de sécurité d’octobre 2026, mais uniquement pour Android 14 à 17.
- Il n’existe à ce jour aucun correctif officiel pour Android 12 et 13, bien que le même code défectueux y soit exécuté.
Un seul SMS suffit à paralyser un smartphone Android et à couper les appels en cours, sans aucune action des personnes concernées. Le chercheur en sécurité Mark B. a baptisé la faille « SMS of Death ».
Le message arrive en silence. Les personnes concernées ne voient généralement aucun SMS dans leur boîte de réception, aucune notification, aucune indication d’expéditeur – seulement un appel qui s’interrompt brusquement ou un téléphone qui se fige un court instant. Android traite le message manipulé avant même qu’il n’apparaisse dans l’historique visible des messages.
D’après les documents du chercheur, Google a été informé de la faille dès mai 2026 via son propre programme de bug bounty et a rédigé un commit correctif en juin. Pourtant, la vulnérabilité n’apparaît pas sous son numéro CVE dans le bulletin de sécurité Android officiel d’octobre 2026 – un point que le chercheur lui-même laisse également en suspens.
Comment l’attaque fonctionne techniquement
L’attaque exploite une technologie mobile obsolète appelée WAP Push – conçue à l’origine pour permettre aux opérateurs d’envoyer des messages de configuration aux téléphones. Android traite ces messages via la fonction WapPushOverSms.decodeWapPdu() dans le composant téléphonie du système d’exploitation. Selon l’analyse technique du chercheur, cette fonction lit une valeur de longueur dans le message sans la vérifier suffisamment. Avec un message volontairement mal formé, cette valeur devient négative ; Android tente alors de créer un tableau de données de taille négative et plante avec une exception non gérée.
Concrètement, une attaquante ou un attaquant n’a besoin que du numéro de téléphone de la cible et envoie le message piégé sous forme de SMS de données via le port 2948 – sans aucun accès à l’appareil lui-même et sans que la cible n’ait à cliquer sur quoi que ce soit ou à ouvrir quoi que ce soit. Le processus système concerné, com.android.phone, plante puis redémarre, ce qui prend selon le chercheur environ une à deux secondes. Pendant ce temps, un appel en cours est interrompu – avec le code d’erreur interne « CS_DEATH ».
Les opérateurs renvoient souvent automatiquement les messages non distribués. Le plantage peut ainsi se répéter sans qu’un nouveau message doive être envoyé. Lors des tests du chercheur, cela a entraîné des pannes intermittentes pouvant aller jusqu’à une semaine. Environ 20 messages de ce type ont suffi lors de ses essais à rendre un smartphone pratiquement inutilisable pendant une longue période, car le message défectueux reste dans la file d’attente et est retraité à chaque redémarrage – une boucle de redémarrage qui pourrait facilement inciter des utilisatrices et utilisateurs ordinaires à réinitialiser l’appareil aux paramètres d’usine.
Dans sa divulgation rédigée en anglais, le chercheur résume lui-même le cœur du problème :
« The vulnerability allows a remote attacker to crash a victim’s phone process with just their phone number, no user interaction required. » (En français : « La vulnérabilité permet à une attaquante ou un attaquant de faire planter le processus téléphonique d’une victime uniquement avec son numéro de téléphone – sans aucune interaction sur l’appareil. »)
Mark B., chercheur en sécurité, dans sa divulgation complète sur smsofdeath.com (29 octobre 2026)
Quels appareils et quelles versions d’Android sont concernés
Selon la divulgation, le code défectueux se trouve dans Android 12 à 17 – soit dans pratiquement tous les smartphones livrés avec Android au cours des quatre dernières années environ. Le chercheur affirme avoir testé la faille avec un taux de reproduction de 100 % sur un Google Pixel 9 doté du micrologiciel d’avril 2026 ainsi que sur différents appareils des gammes Samsung Galaxy et Galaxy A.
En Allemagne aussi, Android est de loin le système d’exploitation pour smartphones le plus répandu. La faille ne concerne donc pas des appareils de niche, mais une grande partie des smartphones utilisés en Allemagne, quel que soit le fabricant – à condition que la version d’Android concernée se situe dans la plage de versions touchées.
| Version d’Android | Code défectueux présent | Correctif dans la mise à jour d’octobre 2026 |
|---|---|---|
| Android 12 / 12L | oui | non |
| Android 13 | oui | non |
| Android 14 | oui | oui |
| Android 15 | oui | oui |
| Android 16 / 16 QPR2 | oui | oui |
| Android 17 | oui | oui |
Source : divulgation du chercheur en sécurité Mark B., smsofdeath.com, état au 29 octobre 2026. On ignore si et quand les appareils plus anciens, qui ne sont plus pris en charge, recevront un correctif.
Ce que Google a fait jusqu’à présent
Selon la divulgation du chercheur, celui-ci a signalé le bug le 5 mai 2026 via l’Android & Devices Vulnerability Rewards Program, le programme de bug bounty de Google dédié au système d’exploitation. Un commit correctif intitulé « Fix remote DoS in decodeWapPdu » a été rédigé le 15 juin 2026, d’après les documents du code source qu’il a consultés, puis finalement livré avec la mise à jour de sécurité Android d’octobre 2026.
Le correctif effectivement mis en œuvre diffère de la solution que le chercheur avait lui-même proposée. Alors qu’il avait suggéré de vérifier la valeur de longueur, la solution de Google intercepte l’exception qui survient puis supprime le message déclencheur de la base de données SMS de l’appareil.
On ne sait toujours pas quand, ni si, Android 12 et 13 recevront un correctif. Selon la divulgation, ces deux versions reposent sur le même code défectueux que les versions plus récentes corrigées, mais elles n’ont pas été prises en compte dans la mise à jour d’octobre. Pour les appareils qui ne reçoivent de toute façon plus de mises à jour de sécurité, le chercheur n’indique pour l’instant aucune solution officielle.
La question en suspens dans le bulletin officiel
Un coup d’œil au bulletin de sécurité Android officiel d’octobre 2026 soulève une question à laquelle le chercheur ne répond pas non plus : le numéro CVE 2026-58882, sous lequel la faille « SMS of Death » y est référencée, n’apparaît pas dans le bulletin lui-même. Des termes de recherche comme « WapPushOverSms » ou « decodeWapPdu » ne figurent pas non plus dans la liste officielle.
Le bulletin répertorie à la place une autre vulnérabilité de déni de service, classée comme élevée, dans le composant téléphonie du système, enregistrée sous le numéro CVE-2026-58859 et concernant Android 17. Il n’est pas possible de déterminer avec certitude, à partir des documents accessibles au public, s’il s’agit de la même faille sous un autre identifiant, d’une vulnérabilité apparentée corrigée séparément ou d’une simple erreur de documentation. Une demande auprès de Google n’a pas été possible avant le bouclage ; dans sa divulgation, le chercheur se contente de signaler que son correctif n’apparaît pas dans le bulletin sous le numéro CVE qu’il a utilisé.
Qu’est-ce que le WAP Push, au juste ?
Le WAP Push est une technologie mobile utilisée depuis le début des années 2000, grâce à laquelle les opérateurs envoient automatiquement des messages de configuration – par exemple pour l’internet mobile ou les MMS – aux téléphones. Ces messages sont transmis sous forme de SMS de données spéciaux et traités en arrière-plan par le système d’exploitation, sans que les utilisatrices et utilisateurs ne les voient jamais.
Ce que les personnes concernées peuvent faire maintenant
Une attaque via cette faille ne laisse aucune trace visible dans la boîte de réception pour un observateur extérieur ; elle ne peut donc pas être détectée de manière ciblée. Il est toutefois possible de s’en prémunir – avant tout grâce à une mise à jour de sécurité récente.
Liste de contrôle : vérifier la mise à jour de sécurité Android
- Dans les paramètres, sous « Système » ou « Sécurité et confidentialité », vérifier si la mise à jour de sécurité d’octobre 2026 ou une version plus récente est installée.
- Si la mise à jour manque, lancer l’installation automatique puis redémarrer l’appareil – le correctif ne prend pleinement effet qu’après un redémarrage.
- Les personnes qui utilisent un appareil sous Android 12 ou 13 ne reçoivent, en l’état actuel, aucun correctif pour cette faille précise – une raison de tenir compte, lors du prochain achat, de la durée de mises à jour restante garantie par le fabricant.
- Si un appareil redémarre en boucle ou se retrouve bloqué dans une boucle de récupération : ne pas choisir précipitamment « Effacer les données » ou une réinitialisation d’usine. Le chercheur décrit une méthode technique via l’Android Debug Bridge (ADB) qui supprime le message bloquant sans perte de données – cela nécessite toutefois un ordinateur et des connaissances techniques de base.
En cas de doute ou de problème aigu, il est possible de s’adresser au service client du fabricant du smartphone ou de l’opérateur mobile.
Questions fréquentes
Dois-je cliquer sur quelque chose ou ouvrir une application pour être concerné ?
Non. Selon le chercheur, l’attaque fonctionne entièrement sans intervention sur l’appareil – il suffit que le numéro de téléphone soit connu. Le message est traité en arrière-plan avant même qu’il n’apparaisse dans l’historique visible des messages.
Comment savoir si mon smartphone a été touché ?
Un signe typique est un appel qui s’interrompt brusquement, suivi d’un bref gel ou d’un redémarrage de l’appareil. Selon la divulgation, il n’y a généralement pas de SMS suspect dans la boîte de réception, car le message est traité avant d’être affiché et supprimé automatiquement une fois le correctif appliqué.
Un antivirus protège-t-il contre cette faille ?
La divulgation ne donne aucune indication à ce sujet. Comme l’erreur se situe au plus profond du composant téléphonie du système d’exploitation et n’est pas déclenchée par une application installée, on ignore si les applications de sécurité courantes sont même capables de détecter l’attaque. La mise à jour de sécurité officielle de Google ou du fabricant de l’appareil reste la seule protection confirmée par Google.
Existe-t-il déjà des signalements d’attaques réelles ?
Pas selon les informations accessibles au public à ce jour. Ont été décrites jusqu’ici la reproduction de la vulnérabilité en conditions de test et ses conséquences possibles, mais aucun cas d’attaque connu en dehors de tests contrôlés.
Comment gérez-vous les mises à jour de sécurité sur votre smartphone – rapidement ou plutôt en les repoussant ? N’hésitez pas à nous donner votre avis dans les commentaires.
Sources et date
- Mark B. : Divulgation complète « SMS of Death » (CVE-2026-58882), smsofdeath.com, publiée le 29 octobre 2026
- Mark B. : Dépôt de preuve de concept sur GitHub
- Android Open Source Project : Bulletin de sécurité Android, octobre 2026
État des recherches et des données : 31 octobre 2026.
Note de transparence : des outils assistés par l’IA ont été utilisés pour la recherche, la structuration et la rédaction de cet article. Les sources utilisées sont indiquées dans l’article. La publication n’intervient qu’après validation éditoriale manuelle.
