Un messaggio WAP manipolato può bloccare la telefonia di Android

Uno smartphone può avere tutte le app aggiornate e restare vulnerabile proprio nella sua funzione più elementare: telefonare. Il caso "SMS of Death" riguarda questo livello di Android. Un messaggio di tipo WAP Push manipolato può interrompere il servizio telefonico senza che chi lo riceve faccia nulla. Il ricercatore Mark B ha pubblicato la sua analisi il 29 ottobre 2026, pochi giorni fa, documentando prove su Google Pixel e Samsung Galaxy. Il punto più delicato è la persistenza: il messaggio può restare in attesa di elaborazione e provocare nuovi arresti a ogni ripartenza.

Un messaggio che spegne le chiamate

L'attacco appartiene alla categoria denial-of-service, abbreviata DoS, cioè rende indisponibile un servizio. Le conseguenze descritte sono chiamate interrotte, perdita della connettività cellulare e possibili riavvii ripetuti. L'exploit, ossia la tecnica che sfrutta la falla, colpisce la disponibilità del telefono e il furto dei contenuti resta fuori dal quadro documentato. Anche l'espressione "blocco definitivo" richiede cautela: un dispositivo inutilizzabile per il proprietario può restare tecnicamente recuperabile, e la distinzione pesa quando un ripristino affrettato rischia di cancellare dati ancora presenti.

WAP sta per Wireless Application Protocol, una tecnologia storica della telefonia mobile. I messaggi WAP Push trasportano dati che il sistema interpreta in automatico. Nel caso descritto, una lunghezza anomala nell'intestazione provoca un errore durante l'elaborazione e manda in arresto com.android.phone, il processo che gestisce le comunicazioni telefoniche. Il messaggio viene trattato prima di arrivare nella casella degli SMS, quindi non compare alcuna notifica e diventa difficile collegare il guasto alla sua origine.

Un solo messaggio anomalo può interrompere le chiamate senza nessuna azione dell'utente

La correzione nel codice di Android

La risposta tecnica si legge nell'Android Open Source Project, il progetto che ospita il codice aperto di Android. Il commit, cioè la modifica registrata nel codice, porta la firma di Thomas Nguyen e la data del 15 giugno 2026; nel ramo consultato risulta integrato il 5 agosto. L'intervento intercetta gli errori durante l'elaborazione e rimuove il messaggio problematico dalla coda, con l'aggiunta di test automatici dedicati. Le due azioni sono distinte: contenere l'errore protegge il processo, eliminare l'elemento che lo provoca impedisce che venga rielaborato all'avvio successivo.

Qui emerge il significato più ampio della vicenda. La robustezza della telefonia dipende dalla capacità di riconoscere dati anomali e dal comportamento del sistema dopo un fallimento. Il ricercatore propone una verifica preventiva della lunghezza, mentre la soluzione pubblicata agisce sulla gestione delle eccezioni e sulla pulizia della coda. Le due strategie possono convivere. Per l'utente conta soprattutto che un singolo input errato venga isolato e le comunicazioni restino operative.

Chi è protetto e chi aspetta

La distribuzione della protezione richiede una lettura prudente. Secondo il ricercatore, la correzione è arrivata con gli aggiornamenti di ottobre 2026 per Android 14, 15, 16 e 17, mentre Android 12 e 13 restano fuori da quel rilascio. L'indicazione va tenuta separata dalla disponibilità effettiva sul singolo modello. Un altro elemento invita alla cautela: il bollettino Android di ottobre consultato omette CVE-2026-58882, l'identificatore associato alla notizia. Per i dati pubblici, la sigla CVE indica il catalogo che assegna un codice univoco alle vulnerabilità note. Quel documento, da solo, lascia aperta la conferma del legame tra identificatore, commit e classificazione ufficiale della gravità.

Per il lettore, il controllo utile parte dalle Impostazioni. Nella sezione Informazioni sul telefono, sotto Versione di Android, si trovano versione del sistema, aggiornamento della sicurezza e numero della build, cioè l'identificativo del software installato. La ricerca degli aggiornamenti passa in genere da Sistema e Aggiornamenti software, con percorsi che cambiano secondo il produttore. Installare quanto disponibile resta la prima misura, mentre per accertare la presenza di questa specifica correzione serve il riscontro sul firmware del modello interessato.

Supporto lungo, patch veloci

Chi compra uno smartphone deve valutare la durata del supporto e la rapidità degli aggiornamenti

Le due variabili sono diverse. Google garantisce sette anni di aggiornamenti per Pixel 8 e successivi, contro i cinque delle famiglie Pixel 6 e Pixel 7. Samsung mantiene invece categorie di distribuzione mensili, trimestrali e semestrali, pur offrendo finestre estese su dispositivi selezionati. Questi impegni indicano per quanto tempo arriverà assistenza e con quale frequenza arriveranno normalmente le correzioni. Con una vulnerabilità sfruttabile da remoto, la distanza tra i due aspetti diventa rilevante.

Il contesto economico complica il consiglio di sostituire i telefoni fuori supporto. Nel secondo trimestre 2026 le consegne europee di smartphone sono scese del 10%, a 35 milioni di unità. L'analisi di mercato collega il calo anche all'aumento dei prezzi e alla riduzione delle promozioni. I dati riguardano le nuove consegne e non il numero di telefoni vulnerabili, ma aiutano a capire la tensione: conservare un dispositivo funzionante può essere sensato, mentre l'assenza di manutenzione software ne riduce l'affidabilità.

Le regole europee e i precedenti

Anche in Italia il quadro europeo spinge verso un supporto più continuo. Le regole di progettazione ecocompatibile applicabili dal 20 giugno 2025 introducono, per i prodotti interessati, requisiti sulla disponibilità gratuita degli aggiornamenti fino ad almeno cinque anni dopo la fine dell'immissione sul mercato del modello, alle condizioni previste dal regolamento. Il perimetro riguarda i dispositivi commercializzati dalla decorrenza prevista, perciò la protezione dei telefoni più vecchi resta legata alle politiche dei produttori.

La storia suggerisce di guardare anche al rapporto tra telefono e rete. Nel 2009 una diversa vulnerabilità Android coinvolgeva già messaggi WAP Push e arresti della telefonia. Una ricerca presentata a USENIX Security nel 2011 da Collin Mulliner, Nico Golde e Jean-Pierre Seifert mostrava poi che alcune configurazioni delle reti mobili potevano amplificare attacchi via SMS. Sono precedenti distinti dal caso attuale e indicano l'utilità di verificare anche riconsegna e filtraggio dei messaggi, con prove controllate insieme agli operatori.

Quando il telefono si riavvia sempre

Se il telefono è già entrato in un ciclo di riavvii, la documentazione descrive un recupero con Android Debug Bridge, lo strumento che permette a un computer di dialogare tecnicamente con Android. L'intervento elimina dalla coda i messaggi problematici, mentre alcune operazioni alternative cancellano SMS e configurazioni. È materia da assistenza qualificata. Per chi dipende da quel dispositivo per essere reperibile, la possibilità di recuperarlo lascia comunque aperto un problema concreto: avere un altro mezzo funzionante durante il disservizio.