In questo articolo Indice dei contenuti 2 sezioni
Su alcuni smartphone Android un semplice messaggio di testo può bastare per mandare il dispositivo in crash, interrompere una telefonata in corso e, nei casi più gravi, costringerlo a riavviarsi in continuazione. La falla è stata ribattezzata SMS della morte e porta il codice identificativo CVE 2026 58882. Il nome è decisamente evocativo, ma rende bene l’idea di quanto possa essere fastidioso, e potenzialmente pericoloso, un problema che parte da qualcosa di banale come un SMS.
A renderla pubblica è stato il ricercatore di sicurezza Mark Blah, che ha atteso la distribuzione della correzione da parte di Google prima di diffondere i dettagli. È una prassi piuttosto comune in questo campo. Prima si dà il tempo all’azienda di sistemare le cose, poi si spiega nel dettaglio cosa non andava, così da evitare che qualcuno sfrutti la vulnerabilità mentre i dispositivi sono ancora scoperti.
Un attacco che non richiede alcuna azione da parte della vittima
L’aspetto più insidioso della vulnerabilità è che la vittima non deve fare praticamente nulla. Non serve aprire il messaggio né toccare qualcosa sullo schermo. Il problema si manifesta ancora prima che l’SMS compaia tra le conversazioni, perché Android lo elabora già nella fase di ricezione. Se il testo è stato confezionato apposta per sfruttare la falla, questo passaggio può bastare a bloccare il telefono oppure a interrompere il collegamento con la rete cellulare.
Le conseguenze segnalate non si fermano a un semplice blocco del sistema. Tra gli effetti c’è anche la caduta delle chiamate in corso, comprese quelle verso i numeri di emergenza, ed è forse il dettaglio che preoccupa di più. Restare senza linea proprio mentre si sta chiedendo aiuto è uno scenario che nessuno vorrebbe mai vivere.
C’è poi un altro elemento che complica il quadro. L’utente potrebbe non notare alcun avviso sospetto e quindi non avere nessun indizio immediato su cosa abbia provocato l’anomalia. Il telefono smette di funzionare correttamente, la chiamata salta o la connessione sparisce, ma sullo schermo non c’è traccia evidente del messaggio colpevole. Capire da dove arrivi il malfunzionamento, in queste condizioni, diventa tutt’altro che semplice.
Bastano 20 messaggi per innescare un ciclo di riavvii
La situazione rischia di peggiorare ulteriormente in due casi precisi. Il primo si verifica quando l’operatore prova a recapitare di nuovo gli SMS incriminati, il secondo quando il sistema tenta di elaborare messaggi già salvati sul dispositivo. In entrambe le circostanze il testo malevolo torna a essere processato e il problema si ripresenta, alimentando una spirale difficile da interrompere.
Secondo quanto riferito dal ricercatore, l’invio di appena 20 messaggi preparati per l’attacco è sufficiente a innescare un ciclo continuo di riavvii. Il numero è sorprendentemente basso e dimostra quanto poco serva per rendere un telefono di fatto inutilizzabile.
Durante una prova condotta su uno smartphone con Android 12, il dispositivo è entrato nella modalità di ripristino all’incirca ogni 90 secondi. Un intervallo così breve non lascia praticamente margine per intervenire, salvare dati o tentare qualche soluzione alternativa. In quel caso, per tornare a usare il telefono, è stato necessario riportarlo alle impostazioni di fabbrica.
Fonte: TecnoAndroid