Faille SMS Android : un message invisible peut couper les appels des flottes mobiles

Baptisée « SMS of Death », une faille SMS Android rendue publique le 29 octobre 2026 permet de faire planter la téléphonie d’un smartphone à distance, sans aucune action de son utilisateur. Appels en cours coupés, y compris vers les secours : les entreprises et les communes qui équipent leurs agents de terminaux Android ont intérêt à vérifier leurs mises à jour.

La vulnérabilité a été découverte par Mark Blaszczyk, chercheur indépendant, qui l’a signalée à Google le 5 mai 2026 via son programme de récompense dédié à Android. Elle porte la référence CVE-2026-58882 et serait classée « critique » dans le bulletin de sécurité Android de novembre 2026, selon un message de l’équipe GrapheneOS relayé par Security Affairs. Le correctif, lui, a été diffusé avec la mise à jour de sécurité d’octobre 2026, pour Android 14 à 17. Le chercheur a publié sa démonstration le 29 octobre, avec une preuve de concept en accès libre.

Un SMS technique qui fait tomber la téléphonie

L’attaque ne repose ni sur un lien piégé ni sur une application malveillante. Elle vise un vieux composant d’Android chargé de traiter les SMS « binaires » de type WAP Push, utilisés en arrière-plan, par exemple pour certaines notifications MMS. L’utilisateur ne voit rien : on parle d’attaque zero-click, c’est-à-dire sans clic ni interaction.

Le mécanisme

• un en-tête de quelques octets, volontairement mal formé, contient une longueur que le système convertit sans contrôle ;
• le calcul aboutit à une taille négative, ce qui provoque une exception ;
• le processus qui gère la téléphonie (com.android.phone) plante, puis redémarre en une à deux secondes.

Des effets qui s’accumulent

D’après le chercheur, un seul message suffit à interrompre le service et à couper un appel en cours. Une vingtaine de SMS envoyés à la suite rendent le téléphone inutilisable pendant longtemps. Les plantages répétés peuvent corrompre la base de messages et entraîner une boucle de redémarrage. Les tests ont été reproduits sur un Google Pixel 9 et sur des Samsung Galaxy.

Une faille de disponibilité, pas d’espionnage

Les sources convergent sur un point : il s’agit d’un déni de service. La faille ne permet ni de voler des données, ni de prendre le contrôle du téléphone. Aucune exploitation par des cybercriminels n’a été signalée à ce stade. Mais la publication d’un code de démonstration abaisse nettement le niveau technique nécessaire pour la reproduire.

Le risque principal tient à la continuité des communications. Le chercheur insiste sur la coupure possible des appels d’urgence. Pour un technicien isolé, un agent de terrain ou une astreinte, un mobile muet au mauvais moment n’est pas un simple désagrément.

Faille SMS Android : ce que ça change pour les entreprises et les communes

Les flottes professionnelles sont rarement homogènes. Smartphones durcis sur les chantiers, terminaux d’agents de police municipale, téléphones de travailleurs isolés : beaucoup de modèles sont gardés longtemps, au-delà de leur période de mises à jour.

Les terminaux anciens restent exposés

Le code vulnérable est présent depuis Android 12. Or le correctif ne concerne que les versions 14 à 17. Android 12 et 13 ne sont pas corrigés, selon le chercheur et Security Affairs. Les appareils concernés devront être isolés de ce risque autrement, ou remplacés.

La dépendance au fabricant

Le correctif de Google doit ensuite être intégré par chaque fabricant. Le délai de diffusion varie selon les marques et les modèles. Seul le niveau de correctif de sécurité affiché dans les réglages permet de savoir si un téléphone est protégé : octobre 2026 ou plus récent.

Le sujet rejoint une question plus large, celle de la résilience de la téléphonie mobile professionnelle. Après la fin de la 2G chez Orange, qui a déjà obligé à recenser les équipements anciens, cette faille rappelle l’intérêt d’un inventaire précis du parc.

Les réflexes à adopter dès maintenant

• Inventoriez votre flotte : modèle, version d’Android et niveau de correctif de chaque terminal.
• Déployez la mise à jour d’octobre 2026 ou plus récente, de préférence via votre outil de gestion de flotte (MDM).
• Identifiez les appareils sous Android 12 ou 13 et planifiez leur remplacement, en commençant par les postes sensibles.
• Prévoyez un canal de secours pour les travailleurs isolés et les astreintes : poste fixe, softphone ou solution d’accès nomade.
• En cas de boucle de redémarrage, évitez l’effacement complet du téléphone avant d’avoir sollicité votre support : le chercheur décrit une procédure de récupération moins destructive.

Pour les mairies et intercommunalités, ce point peut s’intégrer à la démarche de cybersécurité des collectivités. Côté entreprises, il relève de la politique de sécurité informatique, au même titre que les postes de travail.

Conclusion

La faille SMS Android « SMS of Death » ne vole rien, mais elle peut faire taire un smartphone au moment où il compte le plus. Le correctif existe depuis octobre ; reste à s’assurer qu’il est réellement installé sur chaque terminal. Vérifiez dès aujourd’hui le niveau de correctif de votre flotte et traitez en priorité les appareils qui ne reçoivent plus de mises à jour. C’est aussi l’occasion de revoir l’ensemble de votre téléphonie d’entreprise sous l’angle de la continuité de service.

Source : Univers Freebox – « SMS de la mort » : votre smartphone pouvait être paralysé sans même toucher à l’écran (30 octobre 2026)
Voir aussi : Security Affairs – SMS of Death: Android under attack, an invisible SMS can block calls and emergency services (1er novembre 2026) ; eSecurity Planet – Android ’SMS of Death’ Flaw Can Drop Emergency Calls, Trigger Reboot Loops (30 octobre 2026) ; Mark Blaszczyk – SMS of Death: zero-click Android telephony DoS (29 octobre 2026)