Un SMS invisible pourrait suffire à faire planter le service d’appel d’un téléphone Android, à interrompre les appels d’urgence et, potentiellement, à laisser l’appareil pris dans une boucle de plantages répétés.
Le chercheur en sécurité Mark Blaszczyk a révélé une vulnérabilité critique, référencée sous le nom CVE-2026-58882, qui permet à des attaquants de perturber le framework de téléphonie d’Android en envoyant un SMS WAP Push spécialement conçu.
Référencée sous le nom CVE-2026-58882, la faille touche le framework de téléphonie central d’Android. L’attaque ne nécessite aucune action de la part du destinataire. Les victimes n’ont pas besoin d’ouvrir un message, de cliquer sur un lien ni même de recevoir une notification.
Selon Blaszczyk, le message malveillant n’apparaît jamais dans la boîte de réception et Android ne révèle pas le numéro de l’expéditeur. La vulnérabilité touche Android 12 à 16, Google distribuant un correctif pour Android 14 à 17 dans sa mise à jour de sécurité d’octobre 2026. Les appareils fonctionnant avec d’anciennes versions qui n’ont pas accès aux correctifs de sécurité pourraient rester exposés.
Comment quelques octets peuvent faire planter Android
Le problème se situe dans le composant WapPushOverSms d’Android, qui traite les messages WAP Push envoyés sur les réseaux mobiles.
Blaszczyk a constaté qu’Android interprète la longueur de l’en-tête du message comme un nombre élevé avant de la convertir en un entier plus petit, sans vérifier si cette valeur est valide. Une séquence spécialement conçue de cinq octets entraîne une valeur négative lors de cette conversion. Lorsque Android tente d’allouer de la mémoire en utilisant cette valeur, il déclenche une exception NegativeArraySizeException.
L’exception fait planter com.android.phone, le processus système responsable des fonctions de téléphonie. Des tests menés sur Google Pixel et les appareils Samsung Galaxy ont produit un taux de reproduction de 100 %, selon le chercheur.
Les plantages répétés peuvent rendre les téléphones inutilisables
La conséquence immédiate est l’interruption des appels, y compris des appels d’urgence. Le service de téléphonie du téléphone redémarre généralement après environ une à deux secondes, interrompant temporairement l’accès au réseau. Cependant, le problème peut persister, car les opérateurs peuvent renvoyer des messages que l’appareil n’a jamais correctement accusés réception.
Le SMS malveillant reste également dans la file d’attente des messages en attente d’Android. Lorsque le téléphone redémarre, le système tente de le traiter à nouveau, ce qui peut déclencher un autre plantage. Blaszczyk a constaté qu’environ 20 messages pouvaient rendre un appareil inutilisable pendant une période prolongée. Le mécanisme de récupération RescueParty d’Android peut finalement forcer les appareils qui plantent continuellement à passer en mode récupération.
Blaszczyk a décrit une procédure de récupération faisant appel à Android Debug Bridge (ADB) pour supprimer les messages problématiques sans effacer l’appareil. Cette procédure nécessite toutefois un accès technique que de nombreux propriétaires de smartphones n’ont peut-être pas configuré à l’avance.
Le correctif de Google remédie aux plantages répétés
Google a reçu le rapport de Blaszczyk le 5 mai 2026. Une modification technique corrigeant la vulnérabilité a été intégrée le 15 juin. Plutôt que de mettre en œuvre la validation de la longueur de l’en-tête proposée par le chercheur, Google a renforcé la gestion des exceptions afin d’intercepter les erreurs d’exécution et de supprimer les messages malformés de la file d’attente.
La mise à jour de sécurité d’octobre 2026 inclut le correctif pour Android 14 à 17. GrapheneOS a également indiqué que la vulnérabilité figurera dans le bulletin de sécurité de novembre, après une distribution précédente dans le cadre des versions préliminaires de sécurité.
Ces calendriers différents illustrent un problème récurrent de la sécurité d’Android : l’arrivée d’un correctif dans l’Android Open Source Project ne signifie pas automatiquement que tous les téléphones pris en charge le recevront immédiatement.
Ce que les utilisateurs d’Android doivent faire
Pour les particuliers, cette vulnérabilité pose un problème que les habitudes de sécurité classiques ne peuvent pas empêcher. Il n’y a aucun lien suspect à éviter ni aucun message à supprimer, car l’attaque se produit avant que les utilisateurs ne voient quoi que ce soit.
Installer la dernière mise à jour de sécurité d’Android disponible est la défense la plus pratique. Les propriétaires d’appareils plus anciens qui ne reçoivent plus de correctifs de sécurité sont confrontés à une plus grande incertitude, car la vulnérabilité sous-jacente pourrait rester non corrigée.
Les conséquences sur les appels d’urgence sont particulièrement préoccupantes. Un téléphone qui perd inopinément ses fonctions de téléphonie pourrait empêcher une personne de contacter les services d’urgence au moment où elle en a le plus besoin.
Le problème plus large de l’écosystème des appareils Android
La vulnérabilité met également en évidence une faiblesse dans la manière dont les mises à jour de sécurité mobiles parviennent aux utilisateurs. Google peut corriger une faille dans la plateforme sous-jacente, mais les fabricants et les opérateurs continuent d’influer sur le moment où les correctifs atteignent chaque appareil.
Les fabricants et les opérateurs influent sur la disponibilité des mises à jour, laissant les utilisateurs dépendre de calendriers d’assistance propres à chaque appareil. Les téléphones qui ne reçoivent plus de correctifs de sécurité peuvent rester exposés même après la correction de la vulnérabilité sous-jacente.
La publication par Blaszczyk d’un code de preuve de concept renforce l’urgence du déploiement des correctifs. Comme l’attaque signalée ne nécessite aucune interaction de la part du destinataire, les précautions habituelles contre les messages suspects offrent une protection limitée.
La préoccupation plus large dépasse le cadre des appareils individuels. Les vulnérabilités qui perturbent les services de téléphonie peuvent affecter la fiabilité des communications mobiles, ce qui rend les mises à jour rapides importantes à la fois pour la sécurité des utilisateurs et pour la disponibilité du service.
Autre information : Anthropic affirme qu’un modèle Claude non publié a développé cinq chaînes d’exploitation fonctionnelles ciblant Chrome, Safari, Android, Windows et Linux.