Un chercheur publie un PoC pour « SMS of Death » sur Android
La faille CVE-2026-58882, une attaque par déni de service déclenchée par un message WAP Push malformé, provoque le crash du processus téléphonique et la coupure des appels.
Le chercheur en vulnérabilités Mark Blah a publié une analyse technique et un exploit de démonstration (PoC) pour une faille Android suivie sous la référence CVE-2026-58882 et surnommée « SMS of Death », selon bleepingcomputer.com.
La vulnérabilité est un déni de service « zero-click » déclenché par un message WAP Push malformé de huit octets, envoyé sous forme de SMS de données sur le port 2948. Elle résulte d'une validation incorrecte d'une valeur de longueur d'en-tête dans la fonction WapPushOverSms.decodeWapPdu d'Android. L'exploitation fait planter le processus com.android.phone, ce qui perturbe la connectivité mobile et coupe les appels en cours, y compris les appels d'urgence.
Selon l'analyse publiée par le chercheur, l'envoi de 20 messages malveillants peut plonger les téléphones dans des boucles de redémarrage : un appareil sous Android 12 redémarrait en mode recovery environ toutes les 90 secondes.
Le correctif de Google, intitulé « Fix remote DoS in decodeWapPdu », intercepte les exceptions et supprime les messages malveillants de la base de données des SMS. Il a été intégré aux mises à jour de sécurité Android d'octobre 2026 pour Android 14 à 17, sans être mentionné dans le bulletin de sécurité d'octobre de Google. Les appareils sous Android 12 et 13, qui n'ont pas reçu le correctif, restent vulnérables.
Un contributeur de GitHub nommé Sakis a par ailleurs trouvé une méthode pour supprimer les messages malveillants via Android Debug Bridge (ADB).
En bref
Qu'est-ce que la faille CVE-2026-58882 ?
Un déni de service « zero-click » sur Android, déclenché par un message WAP Push malformé de huit octets envoyé sur le port 2948, qui fait planter le processus com.android.phone et coupe les appels.
Quelles versions d'Android sont corrigées ?
Le correctif a été intégré aux mises à jour de sécurité d'octobre 2026 pour Android 14 à 17 ; Android 12 et 13 restent vulnérables.
Comment supprimer les messages malveillants ?
Le contributeur GitHub Sakis a trouvé une méthode via Android Debug Bridge (ADB).