Otto byte in un SMS che non vedrete mai possono buttare un telefono Android fuori dalla rete
Il messaggio non arriva mai nella vostra casella. È un WAP Push, il tipo di SMS silenzioso che gli operatori usano per le impostazioni, ed è lungo otto byte. Il ricercatore che l'ha scoperto, Mark B, ha pubblicato l'analisi completa su smsofdeath.com il 29 ottobre e poi ha messo su GitHub un'app proof-of-concept funzionante. BleepingComputer ne ha parlato venerdì. La falla è catalogata come CVE-2026-58882 e non richiede nulla da parte vostra. Nessun tocco, nessun link, nessuna anteprima.
Quello che succede è un errore di calcolo. Android legge un valore di lunghezza dal messaggio, lo converte in un tipo numerico che non può contenerlo e cerca di riservare una quantità negativa di memoria. Il processo telefonico va in crash. Per un secondo o due non c'è rete mobile, e qualsiasi chiamata in corso cade, compresa una chiamata ai servizi di emergenza. Di per sé è un fastidio. Il problema è che la rete non riceve mai una conferma di ricezione, quindi l'operatore rispedisce il messaggio, e quello memorizzato viene riletto ogni volta che il processo si riavvia. Mandatene venti, dice il ricercatore, e il telefono entra in un ciclo di riavvii. Un dispositivo di prova con Android 12 si riavviava in modalità recovery ogni 90 secondi finché non è stato riportato alle impostazioni di fabbrica.
Google ha ricevuto la segnalazione il 5 maggio, ha scritto una correzione a giugno e l'ha distribuita con l'aggiornamento di sicurezza di ottobre 2026 per Android dalla 14 alla 17, anche se non compare nel bollettino di ottobre. Android 12 e 13 sono fuori dalla finestra di correzione e restano vulnerabili. La domanda per voi si riduce quindi a una sola riga nelle Impostazioni, sotto Sicurezza o Informazioni sul telefono: la data dell'aggiornamento di sicurezza Android. Ottobre 2026 o successiva e siete coperti. Se è più vecchia, cercate gli aggiornamenti e riavviate. Se il vostro telefono non può andare oltre Android 13, questo è un motivo in più per pensare di sostituirlo. E se un telefono dovesse mai rimanere bloccato in un ciclo di riavvii dopo una raffica di questi messaggi, non scegliete l'opzione di cancellazione nella schermata di recovery. Un tecnico può rimuovere i messaggi con un cavo e un PC.
Tendvane si occupa solo del lato Windows, ma il suo controllo aggiornamenti fa per il vostro PC quello che quella riga nelle Impostazioni fa per il telefono: vi dice se le correzioni esistono già e semplicemente non sono ancora arrivate.