SMS of Death: un SMS invisibile può bloccare le chiamate Android?

Un SMS invisibile all’utente potrebbe interrompere le telefonate su uno smartphone Android, compromettere temporaneamente la connessione alla rete mobile e, nei casi più gravi, provocare malfunzionamenti persistenti. È quanto sostiene il ricercatore di sicurezza Mark Blaszczyk, che il 29 ottobre 2026 ha pubblicato i dettagli di SMS of Death, una vulnerabilità nel sistema di gestione dei messaggi WAP Push di Android. Il problema riguarda un componente della telefonia e non richiede che il destinatario apra un messaggio, tocchi un collegamento o installi un’applicazione.

Il nome richiama una famiglia di attacchi conosciuta da tempo. Già nel 2010 i ricercatori Collin Mulliner e Nico Golde avevano documentato problemi nella gestione degli SMS capaci di mandare in crash diversi telefoni cellulari. 16 anni dopo, il principio rimane simile: un messaggio costruito per sfruttare un errore nel codice che interpreta i dati ricevuti. Cambiano però i componenti coinvolti, le conseguenze e la complessità dei moderni sistemi operativi.

Blaszczyk afferma di aver segnalato il problema a Google il 5 maggio 2026 e di averlo riprodotto su 5 dispositivi, tra cui un Pixel 9 con aggiornamenti di aprile 2026 e diversi Samsung Galaxy. Secondo la documentazione pubblicata dal ricercatore, Google avrebbe concluso l’analisi classificando il caso come problema non pertinente alla sicurezza.

Come funziona SMS of Death: il problema nasce nel codice di Android

Un sistema operativo come Android supporta anche i WAP Push, messaggi che possono veicolare notifiche e dati destinati a componenti software, anziché comparire nell’app Messaggi. Il formato utilizza il protocollo Wireless Session Protocol (WSP), sviluppato originariamente nell’ambito delle tecnologie WAP. Sebbene WAP appartenga a una fase precedente della telefonia mobile moderna, alcune sue strutture continuano a esistere nella gestione dei messaggi multimediali e dei servizi di rete.

Quando arriva un messaggio di questo tipo, Android deve interpretarne la struttura prima di consegnare i dati all’applicazione interessata. Una parte del lavoro spetta alla classe WapPushOverSms, presente nel progetto AOSP (Android Open Source Project), all’interno del modulo frameworks/opt/telephony.

Il problema nasce dal modo in cui Android interpreta alcune informazioni contenute negli SMS WAP Push. Un messaggio costruito appositamente può indicare una lunghezza dei dati anomala, che il sistema non controlla correttamente. Durante l’elaborazione, Android tenta così di riservare una quantità di memoria non valida, provocando un errore.

Anziché scartare semplicemente il messaggio, Android può generare un crash del processo che gestisce la telefonia, interrompendo le chiamate in corso e rendendo temporaneamente indisponibile la rete mobile.

Il difetto è riscontrabile direttamente nel codice sorgente ufficiale di Android (AOSP): l’effettiva possibilità di sfruttarlo dipende però dalla versione del sistema operativo, dalle modifiche del produttore e dalla rete mobile utilizzata.

Perché un SMS può interrompere le telefonate senza comparire sullo schermo

La caratteristica più insidiosa di SMS of Death è la natura zero-click dell’attacco. Il destinatario non deve compiere alcuna operazione: la ricezione e l’elaborazione del messaggio avvengono attraverso componenti di sistema che lavorano “dietro le quinte” senza la necessità di alcun tipo di interazione.

Secondo il ricercatore, l’eccezione non gestita raggiunge il thread principale del processo com.android.phone, provocandone la terminazione. È un processo fondamentale dell’infrastruttura telefonica Android, coinvolto nella gestione delle chiamate e dei servizi di telefonia.

Il crash del processo telefonico non equivale al blocco del modem cellulare: quest’ultimo dispone di firmware e risorse proprie. La vulnerabilità descritta interessa principalmente la componente software Android che gestisce la telefonia, anche se l’effetto percepito dall’utente può essere simile a una perdita del servizio di rete.

Da semplice crash a un telefono inutilizzabile

La segnalazione non si limita a descrivere l’interruzione temporanea di una chiamata: Blaszczyk sostiene che la mancata conferma della corretta elaborazione di un SMS possa indurre a nuovi tentativi di consegna del messaggio. Di conseguenza, un singolo invio potrebbe generare ulteriori crash senza richiedere una nuova trasmissione da parte dell’attaccante. Nei test svolti dal ricercatore, Blaszczyk riferisce episodi di interruzioni intermittenti protratti fino a una settimana.

La seconda conseguenza descritta risulta ancora più grave. Una successione ravvicinata di messaggi malformati potrebbe interferire con le operazioni di scrittura nel database SQLite utilizzato per l’archiviazione degli SMS.

Blaszczyk riferisce che, in determinate prove con circa 30 messaggi, il database avrebbe subito una corruzione tale da provocare nuovi crash del processo telefonico durante l’avvio del dispositivo.

SQLite prevede meccanismi transazionali progettati proprio per conservare la coerenza dei dati anche in presenza di arresti improvvisi: la semplice terminazione di un processo durante una scrittura non dimostra, da sola, la possibilità di corrompere permanentemente il database. È bene quindi muoversi con prudenza perché per verificare quanto sostenuto servirebbero log completi, informazioni sulla configurazione del database e una riproduzione indipendente della sequenza descritta.

Google non considera SMS of Death una vulnerabilità di sicurezza

Blaszczyk dichiara di aver contattato Google attraverso l’Android & Google Devices Vulnerability Reward Program il 5 maggio scorso.

Secondo la cronologia pubblicata sul sito, il 20 giugno Google avrebbe chiuso la segnalazione con una classificazione Won’t Fix, ritenendo che il problema non costituisse una vulnerabilità di sicurezza. Il ricercatore avrebbe successivamente richiesto una rivalutazione.

Il 29 ottobre 2026 sarebbe arrivata la decisione definitiva: il caso non raggiungerebbe la soglia di gravità prevista dal programma e rientrerebbe nella categoria Non-Security Issue (NSI).

Il rimedio software indicato da Blaszczyk consiste nella validazione della lunghezza dell’intestazione prima della conversione numerica e dell’allocazione dell’array. Il programma dovrebbe rifiutare i valori non rappresentabili correttamente o superiori alla quantità di dati effettivamente disponibile.

SMS of Death merita attenzione perché il difetto è concretamente individuabile nel codice Android e perché la disponibilità della telefonia costituisce un requisito essenziale, non una semplice funzionalità accessoria. La dimostrazione del crash, l’effettiva consegna del messaggio sulle diverse reti e la presunta corruzione persistente del database sono aspetti distinti, che richiedono verifiche indipendenti.