Categories: Non classé

SMS of Death : un message peut planter Android — un patch existe

Article réalisé avec assistance IA à partir des sources citées, avec contrôle éditorial automatisé.

Intro : le « SMS of Death » et pourquoi il faut s’en préoccuper

Le bug surnommé « SMS of Death » touche le traitement des SMS WAP‑Push sur Android : un message malformé peut provoquer l’arrêt du processus téléphonie (com.android.phone) et interrompre les appels — zero‑click, sans interaction de l’utilisateur. La vulnérabilité a été signalée début mai 2026 et un correctif a été committé dans AOSP le 15 juin 2026.

Comment le message fait planter le téléphone

Il ne s’agit pas d’un SMS texte classique mais d’un WAP‑Push (data SMS envoyé sur le port WAP). Le chercheur détaille qu’une longueur WSP mal encodée est lue comme un entier sans vérification, entraînant une NegativeArraySizeException non capturée qui tue le processus téléphonie. Concrètement : coupure immédiate d’un appel (y compris d’urgence dans certains cas), et si l’opérateur redélivre le message la boucle de crash peut se répéter. (Voir la recherche et PoC : smsofdeath.com — publication publique du PoC le 29 octobre 2026.)

Le correctif existe dans AOSP, mais pas forcément sur votre téléphone

Le patch intitulé « Fix remote DoS in decodeWapPdu » a été committé dans AOSP le 15 juin 2026 : le correctif élargit la capture des exceptions et supprime l’enregistrement d’un message « poison » qui favorisait la redélivrance (détails du commit : android.googlesource.com).

Cependant, la présence du correctif dans le code AOSP ne garantit pas qu’il se retrouve immédiatement dans la version distribuée par votre constructeur ou opérateur. Google a publié son bulletin de sécurité le 5 octobre 2026 (patch level 2026‑10‑01), qui couvre la période où le patch a été intégré, mais il reste nécessaire de vérifier que votre build OEM inclut bien la correction (Android Security Bulletin — 5 oct. 2026).

Qui est potentiellement concerné ?

Les tests du chercheur mentionnent des reproductions sur Pixels et appareils Samsung, et sur versions d’Android allant de 12 à 16. Les appareils sous Android 12 et 13 sont plus à risque s’ils ne reçoivent plus de mises constructeur : beaucoup de modèles dans ces gammes risquent de rester vulnérables si le fabricant n’applique pas le patch. Synthèse et recoupements : smsofdeath.com, BleepingComputer.

Que pouvez‑vous faire, concrètement ?

Installez immédiatement toutes les mises système proposées par votre appareil. Vérifiez le niveau de patch de sécurité : ro.build.version.security_patch devrait être ≥ 2026-10-01 pour correspondre au bulletin d’octobre.
Contactez votre constructeur ou opérateur si vous n’avez pas reçu de mise : demandez explicitement si le correctif decodeWapPdu (commit du 15/06/2026) est inclus dans le build distribué à votre modèle.
Si votre téléphone est trop ancien pour recevoir une mise (typiquement Android 12/13 pour certaines références), envisagez un remplacement pour les usages critiques, ou demandez à l’opérateur s’il peut filtrer les messages WAP‑Push entrants vers votre numéro.
Ne lancez pas le PoC public sur des appareils de production. En cas de crash/bootloop, la récupération proposée par le chercheur implique des manipulations ADB et la suppression d’entrées SMS brutes — opérations techniques et risquées réservées aux administrateurs qualifiés.

Est‑ce qu’on a vu des attaques « in the wild » ?

À la date du 29 octobre 2026 il n’y avait pas d’indication publique d’une exploitation massive en production, mais la faille est simple à exploiter (zero‑click) et touche le service téléphonie : pour des cibles sensibles ou des flottes, le risque d’abus est réel et la prudence s’impose. Analyses complémentaires : OrigoTech.

En résumé : oui, le « SMS of Death » peut rendre un téléphone inutile. Oui, le correctif est dans AOSP depuis le 15 juin 2026. Non, vous n’êtes pas automatiquement protégé tant que votre OEM/opérateur n’a pas distribué la mise. Vérifiez le niveau de patch, harcelez poliment le support quand c’est nécessaire, et n’attendez pas que le marketing vous chante la sérénade « sécurité intégrée ». Le monde numérique est souvent moins romantique que sa publicité.

Sources principales : smsofdeath.com, commit AOSP 15‑06‑2026, Android Security Bulletin — 05‑10‑2026, BleepingComputer, OrigoTech.

Yarek Chmielewski Geek.

Yarek Chmielewski Geek

Moi, c’est Yarek Chmielewski Geek. J’aime la technologie quand elle rend service, quand elle surprend et, parfois, quand elle nous oblige à nous demander qui a bien pu valider cette idée en réunion. Un appareil qui simplifie vraiment le quotidien m’intéresse davantage qu’une boîte couverte de superlatifs. « Révolutionnaire » ? Très bien. Commençons par vérifier si le câble est fourni. Sur Planète Geek, je m’intéresse surtout aux smartphones, à Android, aux accessoires utiles et aux usages concrets de l’intelligence artificielle. Mon fil conducteur tient en une question : qu’est-ce que ça change pour nous ? Une nouvelle fonction mérite-t-elle notre attention, notre argent ou simplement un haussement de sourcil ? Entre la fiche technique et la vraie décision d’achat, il y a souvent un joli terrain vague. C’est là que je pose ma chaise. J’aime décortiquer une promesse marketing, traduire un sigle qui se prend pour un mot de passe et remettre les chiffres à leur place. Plus gros n’est pas toujours plus utile. Plus cher n’est pas une démonstration. Et ajouter « AI » à un nom de produit ne lui donne pas automatiquement un cerveau, même si cela semble parfois lui donner vingt euros de plus sur l’étiquette. Mon ton est personnel, volontiers satirique et parfois un peu taquin. Je préfère rire des absurdités numériques que me moquer des personnes qui les subissent. Nous avons tous déjà cherché un réglage pourtant situé « dans un menu très intuitif », selon quelqu’un qui connaît manifestement mieux les menus que les humains. L’humour sert à rendre les explications plus agréables, pas à camoufler une information manquante. Je tiens aussi à une distinction simple : lire une fiche n’est pas tester un produit. Quand un article repose sur des spécifications, des annonces ou des sources publiques, il doit le dire. Une analyse peut expliquer un compromis ou repérer une incohérence ; elle ne peut pas inventer une température mesurée, une autonomie constatée ou six mois d’utilisation. Une inconnue reste une inconnue. Même avec une très belle mise en page. Les notes publiées sous cette signature sont des appréciations éditoriales sur les critères indiqués dans l’article. Elles ne sont ni des témoignages clients ni des résultats de laboratoire. Lorsque les informations ne permettent pas une évaluation sérieuse, mieux vaut écrire « non noté » que sortir un 9/10 d’un chapeau connecté. Les liens commerciaux sont signalés : une commission éventuelle n’est pas un argument technique. Yarek Chmielewski Geek est la signature éditoriale utilisée pour les contenus automatisés et assistés par intelligence artificielle de Planète Geek. Les articles s’appuient sur les sources citées et passent des contrôles automatiques, qui peuvent néanmoins laisser passer des erreurs. Cette présentation décrit une ligne éditoriale, pas un parcours professionnel ou une expérience de test revendiquée. Si une information est incorrecte, signalez-la via la page de contact du site en précisant l’article et la source : une correction vaut toujours mieux qu’une certitude qui s’accroche à son clavier.