Un SMS invisible pourrait suffire à faire planter le service d'appel d'un téléphone Android, à interrompre les appels d'urgence et potentiellement à laisser l'appareil piégé dans une succession de plantages répétés.
Le chercheur en sécurité Mark Blaszczyk a révélé une vulnérabilité critique, référencée sous le nom CVE-2026-58882, qui permet à des attaquants de perturber le framework de téléphonie d'Android en envoyant un SMS WAP Push spécialement conçu.
Référencée sous le nom CVE-2026-58882, la faille touche le framework de téléphonie central d'Android. L'attaque ne nécessite aucune action de la part du destinataire. Les victimes n'ont pas besoin d'ouvrir un message, de cliquer sur un lien ni même de recevoir une notification.
Selon Blaszczyk, le message malveillant n'apparaît jamais dans la boîte de réception et Android ne révèle pas le numéro de l'expéditeur. La vulnérabilité touche Android 12 à 16, Google ayant distribué un correctif pour Android 14 à 17 dans sa mise à jour de sécurité d'octobre 2026. Les appareils fonctionnant sous des versions plus anciennes qui n'ont pas accès aux correctifs de sécurité pourraient rester exposés.
Comment quelques octets peuvent faire planter Android
Le problème se situe dans le composant WapPushOverSms d'Android, qui traite les messages WAP Push envoyés via les réseaux mobiles.
Blaszczyk a constaté que Android lisait la longueur de l'en-tête du message comme un nombre élevé avant de la convertir en un entier plus petit, sans vérifier si la valeur était valide. Une séquence spécialement conçue de cinq octets fait produire un nombre négatif à cette conversion. Lorsque Android tente d'allouer de la mémoire avec cette valeur, il déclenche une NegativeArraySizeException.
L'exception fait planter com.android.phone, le processus système responsable des fonctions de téléphonie. Les tests menés sur des appareils Google Pixel et Samsung Galaxy ont produit un taux de reproduction de 100 %, selon le chercheur.
Les plantages répétés peuvent rendre les téléphones inutilisables
La conséquence immédiate est la coupure des appels, y compris des appels d'urgence. Le service de téléphonie du téléphone redémarre généralement au bout d'une à deux secondes, interrompant temporairement l'accès au réseau. Toutefois, le problème peut perdurer, car les opérateurs peuvent renvoyer des messages que l'appareil n'a jamais réussi à acquitter.
Le SMS malveillant reste également dans la file d'attente des messages en attente d'Android. Lorsque le téléphone redémarre, le système tente de le traiter à nouveau, ce qui peut provoquer un autre plantage. Blaszczyk a constaté qu'environ 20 messages pouvaient rendre un appareil inutilisable pendant une période prolongée. Le mécanisme de récupération RescueParty d'Android peut finalement envoyer les appareils qui plantent à répétition en mode récupération.
Blaszczyk a décrit une procédure de récupération utilisant Android Debug Bridge (ADB) pour supprimer les messages problématiques sans effacer l'appareil. Toutefois, cette procédure nécessite un accès technique que de nombreux propriétaires de smartphones n'ont peut-être pas configuré à l'avance.
Le correctif de Google remédie aux plantages répétés
Google a reçu le signalement de Blaszczyk le 5 mai 2026. Une modification technique corrigeant la vulnérabilité a été intégrée le 15 juin. Plutôt que de mettre en œuvre la validation de la longueur de l'en-tête proposée par le chercheur, Google a renforcé la gestion des exceptions afin d'intercepter les erreurs d'exécution et de supprimer les messages malformés de la file d'attente.
La mise à jour de sécurité d'octobre 2026 inclut le correctif pour Android 14 à 17. GrapheneOS a également indiqué que la vulnérabilité figurerait dans le bulletin de sécurité de novembre, après une distribution antérieure dans le cadre des versions préliminaires de sécurité.
Ces calendriers différents illustrent un problème récurrent de la sécurité Android : la présence d'un correctif dans l'Android Open Source Project ne signifie pas automatiquement que tous les téléphones pris en charge le reçoivent immédiatement.
Ce que les utilisateurs d'Android doivent faire
Pour les utilisateurs, cette vulnérabilité pose un problème que les bonnes pratiques de sécurité habituelles ne peuvent pas empêcher. Il n'y a aucun lien suspect à éviter ni message à supprimer, car l'attaque se produit avant même que les utilisateurs ne voient quoi que ce soit.
Installer la dernière mise à jour de sécurité Android est la défense la plus pratique. Les propriétaires d'anciens appareils qui ne reçoivent plus de correctifs de sécurité font face à une incertitude accrue, car la vulnérabilité sous-jacente pourrait rester non corrigée.
Les conséquences pour les appels d'urgence sont particulièrement préoccupantes. Un téléphone qui perd soudainement ses fonctions de téléphonie pourrait empêcher quelqu'un de contacter les services d'urgence au moment où il en a le plus besoin.
Le problème plus vaste de l'écosystème d'appareils Android
La vulnérabilité met également en évidence une faiblesse dans la manière dont les mises à jour de sécurité mobiles parviennent aux utilisateurs. Google peut corriger une faille dans la plateforme sous-jacente, mais les fabricants et les opérateurs influencent encore le moment où les correctifs atteignent chaque appareil.
Les fabricants et les opérateurs influencent la disponibilité des mises à jour, laissant les utilisateurs dépendre des calendriers de prise en charge propres à chaque appareil. Les téléphones qui ne reçoivent plus de correctifs de sécurité peuvent rester exposés même après la correction de la vulnérabilité sous-jacente.
La publication par Blaszczyk d'un code de preuve de concept renforce l'urgence du déploiement des correctifs. Comme l'attaque signalée ne nécessite aucune interaction de la part du destinataire, les précautions habituelles contre les messages suspects offrent une protection limitée.
La préoccupation plus large dépasse le cadre des appareils individuels. Les vulnérabilités qui perturbent les services de téléphonie peuvent affecter la fiabilité des communications mobiles, ce qui rend les mises à jour rapides importantes tant pour la sécurité des utilisateurs que pour la disponibilité du service.
À lire aussi : Anthropic affirme qu’un modèle Claude non commercialisé a développé cinq chaînes d’exploitation fonctionnelles ciblant Chrome, Safari, Android, Windows et Linux.