Un SMS che non vedrete mai, perché non arriva nella casella dei messaggi, e che intanto butta giù la telefonia del vostro Android: cade la chiamata in corso, anche quella al 112, e la rete sparisce per un paio di secondi. Ripetuto una ventina di volte, lo stesso messaggio può trascinare il telefono in un ciclo di riavvii. Si chiama «SMS of Death», è tracciato come CVE-2026-58882 e da ieri, 2 novembre, sta ufficialmente nel bollettino di sicurezza Android di novembre 2026, classificato critico. Non è l’unica voce che riguarda la parte radio: nello stesso bollettino ci sono otto vulnerabilità critiche nei modem MediaTek e una falla nel processore di chiamata dei chip Qualcomm che si innesca con un messaggio di rifiuto della registrazione 5G. Per chi si occupa di reti mobili, il bollettino di questo mese è una lettura che parte dal telefono e arriva alla cella.
I numeri d’insieme prima: il bollettino elenca 216 CVE, di cui 23 critiche, distribuite su Framework (65), System (53), kernel (31) e poi sui fornitori di componenti, con MediaTek a 30 voci, Imagination Technologies a 12, Qualcomm a 17 tra codice aperto e chiuso, Unisoc a 4 e Arm a 3. Il livello di patch che copre tutto è il 2026-11-05. Google indica come problema più grave una vulnerabilità critica nel Framework, CVE-2026-58868, che consente l’esecuzione di codice da remoto senza privilegi aggiuntivi e senza alcuna azione dell’utente, su tutte le versioni da Android 14 alla 17. Il bollettino, come sempre, non descrive il vettore d’attacco e non segnala sfruttamenti in corso.
Il messaggio che il telefono non riesce a leggere
La storia dell’SMS of Death è invece documentata nei dettagli, perché il ricercatore che l’ha trovata, Mark Blaszczyk, l’ha resa pubblica il 29 ottobre con tanto di sito dedicato e un proof-of-concept su GitHub, dopo aver segnalato il problema a Google il 5 maggio. Il difetto sta nel framework di telefonia di Android, nella funzione che decodifica i messaggi WAP Push: la lunghezza dell’intestazione viene letta come numero a 64 bit e convertita a 32 senza controlli, quindi un valore costruito ad arte diventa negativo, finisce come dimensione di un array e genera un’eccezione non gestita che termina il processo com.android.phone. Il messaggio viaggia come SMS dati e non compare mai in Messaggi: nessuna notifica, nessun mittente da bloccare. Quando il processo muore, cadono le chiamate attive, comprese quelle di emergenza, e la registrazione alla rete manca per uno o due secondi, il tempo del riavvio del servizio.
Il guaio è che il messaggio non scompare con il crash. Se il telefono non ne conferma la ricezione, l’operatore lo rispedisce; e quelli già salvati nella coda in ingresso vengono rielaborati a ogni avvio. Nei test del ricercatore, riportati da Android Authority e da Hardware Upgrade, un solo messaggio ha causato interruzioni intermittenti per una settimana, una ventina bastano a rendere il telefono inutilizzabile, e su un dispositivo Android 12 il risultato è stato un ciclo di riavvii con la schermata di recovery ogni 90 secondi. Uscirne senza il ripristino di fabbrica si può, cancellando via ADB le righe incriminate nella finestra di pochi secondi dopo l’avvio, ma non è una strada per l’utente medio. L’attacco è stato riprodotto su Pixel e su diversi Samsung Galaxy.
La parte che fa discutere è la cronologia. Secondo Android Authority, Google aveva risposto al ricercatore classificando la segnalazione come non di sicurezza, mentre nei repository di Android risulta una correzione scritta il 15 giugno, distribuita ai partner con le anteprime di luglio e inclusa, per Android 14-17, negli aggiornamenti di ottobre, senza però comparire nel bollettino di quel mese. La patch non convalida la lunghezza dell’intestazione: allarga la gestione dell’errore in modo che l’eccezione venga assorbita e cancella dalla coda il messaggio che non si riesce a decodificare, così non torna a far danni alla redelivery. Android 12 e 13, fuori dalla finestra degli aggiornamenti, eseguono lo stesso codice e non ricevono nulla.
Otto critiche nel modem MediaTek, una nel call processor Qualcomm
Sotto il sistema operativo c’è il firmware della radio, e qui il bollettino di novembre è pesante soprattutto per MediaTek. Delle 30 voci attribuite ai suoi componenti, 8 sono classificate critiche e tutte riguardano il sottocomponente «Modem», dalla CVE-2026-20499 alla CVE-2026-20549; altre 15 di gravità alta toccano ancora il modem, il resto si divide tra GPU, decoder video e unità di calcolo AI. Il bollettino rimanda a MediaTek per i dettagli e per la valutazione di gravità, che è del produttore. Unisoc contribuisce con due falle alte nel modem e due nel bootloader.
Qualcomm ha pubblicato in parallelo il proprio bollettino, che dà qualche dettaglio in più. L’unica critica, CVE-2026-25285, è una scrittura fuori dai limiti nel Keystore con una chiave RSA malformata, quindi non riguarda la radio. A interessare chi guarda le reti è la CVE-2026-25287, gravità alta e CVSS 7,4, nel «Multi-Mode Call Processor», cioè il processore di chiamata del modem: un denial of service transitorio nell’elaborazione di certi messaggi di rifiuto della registrazione 5G non protetti da integrità, con uno specifico valore di causa. Il vettore è «adiacente», il che nella pratica significa una stazione radio base in prossimità del telefono. Segnalata l’8 gennaio da Xue Zhang, comunicata ai clienti il 4 maggio, tocca una lista di chipset che va dai Dragonwing per IoT alle piattaforme FWA Gen 3 Ultra e Gen 5 Elite. È lo stesso tipo di debolezza che la rete 5G Standalone, con la protezione di integrità dei messaggi NAS, dovrebbe in teoria rendere innocua: il fatto che un messaggio non protetto venga comunque elaborato dal modem è il punto.
Samsung ha già dettagliato il proprio pacchetto di novembre: secondo SamMobile, oltre alle correzioni di Google include 24 vulnerabilità specifiche dei Galaxy, di cui 4 ad alta gravità da Samsung Semiconductor sui chipset Exynos e i loro modem, oltre a interventi su bootloader, elusione del blocco SIM e chiamate non autorizzate dalla schermata di blocco. La distribuzione ai telefoni è attesa nei prossimi giorni. Per chi segue le nostre pagine, è il secondo mese di fila in cui la radio è al centro del bollettino: a settembre una falla nel modem dei Pixel era già sotto attacco, e il tema della qualità del firmware di baseband torna anche nelle scelte industriali, come il passaggio di Samsung al modem M2700.
Il commento della redazione
Il bollettino di novembre racconta due cose insieme. La prima è che la superficie d’attacco del telefono non finisce nelle app: un SMS dati che l’utente non vede, un messaggio di rifiuto 5G senza integrità, un pacchetto malformato nel firmware del modem sono tutti ingressi che stanno sotto il livello a cui il senso comune applica la prudenza. Contro queste cose non serve evitare i link sospetti: serve la patch, e serve che arrivi. La seconda è che la catena di distribuzione resta il punto debole. La correzione per l’SMS of Death esisteva da giugno, era nelle anteprime di luglio e negli aggiornamenti di ottobre, eppure il bug è stato trattato per mesi come non di sicurezza e la CVE arriva solo oggi. Nel frattempo Android 12 e 13, che sono ancora una fetta non trascurabile del parco installato, restano scoperti senza possibilità di rimedio.
C’è infine un dettaglio da operatore. Il ricercatore nota che in Australia la normativa sulle chiamate di emergenza impone ai gestori di individuare i telefoni che non raggiungono il numero unico e di sospenderli: uno scenario ipotetico, non documentato, in cui un attacco remoto potrebbe far escludere la vittima dalla rete. È un’ipotesi, e va presa come tale. Ma rende l’idea di quanto la sicurezza del terminale e le regole della rete siano ormai la stessa cosa, e di quanto conti, per chi gestisce una rete, sapere cosa succede al telefono quando riceve un messaggio che non doveva ricevere.
💬 Ne parliamo sul forum di TLCworld. Scriveteci nella discussione dedicata: leggiamo e rispondiamo lì.
