Article réalisé avec assistance IA à partir des sources citées, avec contrôle éditorial automatisé.
Intro : le « SMS of Death » et pourquoi il faut s’en préoccuper
Le bug surnommé « SMS of Death » touche le traitement des SMS WAP‑Push sur Android : un message malformé peut provoquer l’arrêt du processus téléphonie (com.android.phone) et interrompre les appels — zero‑click, sans interaction de l’utilisateur. La vulnérabilité a été signalée début mai 2026 et un correctif a été committé dans AOSP le 15 juin 2026.
Comment le message fait planter le téléphone
Il ne s’agit pas d’un SMS texte classique mais d’un WAP‑Push (data SMS envoyé sur le port WAP). Le chercheur détaille qu’une longueur WSP mal encodée est lue comme un entier sans vérification, entraînant une NegativeArraySizeException non capturée qui tue le processus téléphonie. Concrètement : coupure immédiate d’un appel (y compris d’urgence dans certains cas), et si l’opérateur redélivre le message la boucle de crash peut se répéter. (Voir la recherche et PoC : smsofdeath.com — publication publique du PoC le 29 octobre 2026.)
Le correctif existe dans AOSP, mais pas forcément sur votre téléphone
Le patch intitulé « Fix remote DoS in decodeWapPdu » a été committé dans AOSP le 15 juin 2026 : le correctif élargit la capture des exceptions et supprime l’enregistrement d’un message « poison » qui favorisait la redélivrance (détails du commit : android.googlesource.com).
Cependant, la présence du correctif dans le code AOSP ne garantit pas qu’il se retrouve immédiatement dans la version distribuée par votre constructeur ou opérateur. Google a publié son bulletin de sécurité le 5 octobre 2026 (patch level 2026‑10‑01), qui couvre la période où le patch a été intégré, mais il reste nécessaire de vérifier que votre build OEM inclut bien la correction (Android Security Bulletin — 5 oct. 2026).
Qui est potentiellement concerné ?
Les tests du chercheur mentionnent des reproductions sur Pixels et appareils Samsung, et sur versions d’Android allant de 12 à 16. Les appareils sous Android 12 et 13 sont plus à risque s’ils ne reçoivent plus de mises constructeur : beaucoup de modèles dans ces gammes risquent de rester vulnérables si le fabricant n’applique pas le patch. Synthèse et recoupements : smsofdeath.com, BleepingComputer.
Que pouvez‑vous faire, concrètement ?
- Installez immédiatement toutes les mises système proposées par votre appareil. Vérifiez le niveau de patch de sécurité :
ro.build.version.security_patchdevrait être ≥ 2026-10-01 pour correspondre au bulletin d’octobre. - Contactez votre constructeur ou opérateur si vous n’avez pas reçu de mise : demandez explicitement si le correctif
decodeWapPdu(commit du 15/06/2026) est inclus dans le build distribué à votre modèle. - Si votre téléphone est trop ancien pour recevoir une mise (typiquement Android 12/13 pour certaines références), envisagez un remplacement pour les usages critiques, ou demandez à l’opérateur s’il peut filtrer les messages WAP‑Push entrants vers votre numéro.
- Ne lancez pas le PoC public sur des appareils de production. En cas de crash/bootloop, la récupération proposée par le chercheur implique des manipulations ADB et la suppression d’entrées SMS brutes — opérations techniques et risquées réservées aux administrateurs qualifiés.
Est‑ce qu’on a vu des attaques « in the wild » ?
À la date du 29 octobre 2026 il n’y avait pas d’indication publique d’une exploitation massive en production, mais la faille est simple à exploiter (zero‑click) et touche le service téléphonie : pour des cibles sensibles ou des flottes, le risque d’abus est réel et la prudence s’impose. Analyses complémentaires : OrigoTech.
En résumé : oui, le « SMS of Death » peut rendre un téléphone inutile. Oui, le correctif est dans AOSP depuis le 15 juin 2026. Non, vous n’êtes pas automatiquement protégé tant que votre OEM/opérateur n’a pas distribué la mise. Vérifiez le niveau de patch, harcelez poliment le support quand c’est nécessaire, et n’attendez pas que le marketing vous chante la sérénade « sécurité intégrée ». Le monde numérique est souvent moins romantique que sa publicité.
Sources principales : smsofdeath.com, commit AOSP 15‑06‑2026, Android Security Bulletin — 05‑10‑2026, BleepingComputer, OrigoTech.
Yarek Chmielewski Geek.
