SMS of Death: un messaggio zero-click può bloccare la connessione mobile di molti smartphone Android

Uno smartphone Android può perdere la connessione mobile a causa di un SMS costruito ad arte, senza che il proprietario apra nulla, tocchi un link o veda una notifica. Il messaggio non compare nemmeno nell'elenco delle conversazioni: chi lo riceve non vede né il testo né il numero del mittente. Il difetto è stato battezzato SMS of Death e rientra tra gli attacchi zero-click.

Lo ha reso pubblico il 29 ottobre un ricercatore indipendente, dopo diversi mesi di confronto privato con Google. Il problema sta nel gestore WAP Push, un meccanismo datato con cui operatori e applicazioni consegnano dati di servizio attraverso la rete mobile, per esempio per gli MMS e le impostazioni dei servizi. Il messaggio dannoso viaggia come SMS di dati su una porta di servizio, ed è per questo che resta invisibile.

L'errore nasce nel componente WapPushOverSms, nel punto in cui viene letta la lunghezza dell'intestazione WAP. Android riceve un numero a 64 bit e lo converte in un intero con segno a 32 bit senza controllare che rientri nell'intervallo valido. Un valore scelto apposta diventa negativo dopo la conversione, e il sistema prova a creare un array di dimensione negativa. Java solleva allora una NegativeArraySizeException e il processo com.android.phone, quello della telefonia, si arresta in modo anomalo.

Il processo si riavvia in uno o due secondi, ma basta così poco per far cadere una chiamata in corso, comprese quelle verso i servizi di emergenza. Con invii ripetuti il difetto diventa un rifiuto di servizio da remoto. Nei test del ricercatore, un singolo SMS danneggiato ha talvolta provocato problemi di connessione intermittenti per una settimana, mentre circa 20 messaggi hanno reso il telefono praticamente inutilizzabile per un periodo prolungato.

A peggiorare le cose c'è la logica stessa di consegna degli SMS. Se il processo va in crash, il telefono può non confermare la ricezione e la rete rinvia il pacchetto danneggiato. Una copia resta inoltre nella coda interna di Android e viene rielaborata dopo il riavvio. Un solo messaggio può così innescare nuovi crash senza che l'attaccante debba inviare altro.

Il ricercatore ha riprodotto il problema su un Pixel 9 con firmware di aprile 2026 e su vari Samsung Galaxy e Galaxy A, con esito identico a ogni prova. Il codice vulnerabile è stato riprodotto da Android 12 ad Android 16, e l'autore attribuisce l'intervallo colpito ad Android 12-17. Se il ciclo di crash si prolunga, può scattare Rescue Party, il meccanismo di recupero automatico che applica misure via via più drastiche fino alla modalità di ripristino e alla proposta di un reset di fabbrica, con possibile perdita dei dati locali. Il reset non è sempre indispensabile: le voci corrotte si possono rimuovere dalla coda tramite Android Debug Bridge, ma servono un computer, l'accesso ad ADB e una breve finestra in cui il sistema riesca ad avviarsi, cosa difficile per un utente comune.

Google ha preparato la correzione il 15 giugno. Non si limita a controllare il valore numerico: intercetta la RuntimeException durante l'elaborazione del WAP Push ed elimina il messaggio dannoso dal database interno, così Android non lo rianalizza dopo una nuova consegna o un riavvio. Secondo il ricercatore, la patch è entrata nel rilascio di ottobre per Android 14-17. Il bollettino ufficiale di ottobre non descrive però SMS of Death, perciò conviene fare riferimento al firmware più recente del proprio produttore e non al solo numero di versione. Android 12 e 13 potrebbero restare scoperti se il produttore non rilascia più aggiornamenti.

Il ricercatore ha anche pubblicato una dimostrazione funzionante, che genera un WAP Push corrotto e lo invia al numero scelto. Non risultano usi confermati in attacchi reali, ma il codice pubblico rende più facile verificare i dispositivi vulnerabili e abbassa la soglia per chi volesse abusarne.