Un SMS invisible, baptisé « SMS of Death », pouvait planter un téléphone Android sans aucune action de la victime, jusqu’à couper les appels d’urgence. La faille a été corrigée par Google.
Un simple SMS pouvait rendre un téléphone Android difficilement utilisable, sans que sa victime n’ait rien à faire. Pas de lien à cliquer, pas d’application à installer. Baptisée SMS of Death, la faille a été révélée par le chercheur indépendant en cybersécurité Mark Blaszczyk. Heureusement elle a été corrigée par Google, mais vous devez mettre à jour votre téléphone Android.
Dans cet article :
Un message invisible qui fait planter la téléphonie
La faille, référencée CVE-2026-58882, se niche dans le traitement d’un vieux format de message appelé WAP Push. Il était historiquement utilisé pour des notifications de MMS ou des contenus poussés par les opérateurs. Ce type de message ne s’affiche jamais à l’écran et travaille en arrière-plan.
Le problème vient d’une conversion mal encadrée. Android lit la longueur de l’en-tête du message, puis la convertit dans un format plus court sans vérifier que la valeur reste cohérente. Avec une séquence d’octets bien choisie, cette valeur devient négative. Le système tente alors de créer un tableau de données de taille négative, ce qui provoque une erreur et tue le processus com.android.phone, celui qui gère justement la téléphonie. À chaque message malformé, le service se coupe une à deux secondes, le temps de redémarrer, ce qui interrompt notamment les appels en cours. Des tests sur des Google Pixel et des Samsung Galaxy ont reproduit le bug à chaque tentative.
C’est ce que l’on désigne par une attaque zero click, car la victime n’a rien à ouvrir ni à valider. Un attaquant a seulement besoin du numéro de téléphone, et le message n’apparaît ni dans la boîte de réception ni dans les notifications.
VOIR AUSSI : Comment pirater un téléphone en ligne à distance ?
Comment la faille pouvait durablement casser un téléphone
Un seul SMS ne provoque qu’une brève interruption. Mais l’attaquant peut en renvoyer autant qu’il le souhaite, relançant le crash à chaque fois. D’ailleurs, l’opérateur peut lui-même renvoyer le message tant que le téléphone n’en accuse pas réception, ce qui aggrave la situation.
Un seul message pouvait provoquer des coupures intermittentes pendant une semaine, et une vingtaine de messages rendre l’appareil inutilisable bien plus longtemps.
Le pire scénario survient avec une trentaine de messages envoyés rapidement. Les crashs répétés pouvaient alors corrompre la base de données SQLite servant à stocker les SMS. Le téléphone finissait par planter à chaque démarrage, sans qu’un nouveau message soit nécessaire.
Une réinitialisation d’usine pouvait aider, mais sans garantie, puisque le pirate pouvait renvoyer le message. La seule solution fiable consistait à retirer la carte SIM physique pour la placer dans un téléphone non-Android et y supprimer les SMS corrompus, une manœuvre quasiment impossible avec une eSIM.
Mark Blaszczyk a signalé le problème à Google le 5 mai 2026, via le programme de récompense dédié aux vulnérabilités. L’entreprise l’a d’abord classé comme un problème non critique avant de développer un correctif, intégré à la mise à jour de sécurité d’octobre 2026 pour les versions Android 14 à 17.
Si votre téléphone est à jour, vous êtes protégé, et la mise à jour s’installe automatiquement.
L’attaque ne permet pas de voler des données, ni d’installer un logiciel espion, ni de prendre le contrôle du téléphone. Son seul effet est une forme de déni de service, qui empêche la victime d’appeler ou de recevoir des appels.
BuzzWebzine est un média indépendant. Soutiens-nous en nous ajoutant à tes favoris sur Google Actualités :
