Indice
La vulnerabilità CVE-2026-58882 permette a un SMS preparato appositamente di mandare in crash alcuni smartphone Android. Ecco come proteggersi.
Basta ricevere un messaggio di testo per mandare in crash uno smartphone Android, interrompere una telefonata o, nei casi più gravi, provocare continui riavvii del dispositivo. È questo il comportamento della vulnerabilità conosciuta come SMS della morte, identificata con il codice CVE-2026-58882 e resa pubblica dal ricercatore di sicurezza Mark Blah dopo la distribuzione della correzione da parte di Google.
L’aspetto più preoccupante è che non serve aprire il messaggio o interagire con una notifica. Il problema si verifica durante l’elaborazione dell’SMS da parte di Android, prima ancora che il testo venga visualizzato nella normale applicazione di messaggistica.
Un messaggio costruito appositamente per sfruttare la vulnerabilità può quindi provocare il blocco del telefono, interrompere la connessione alla rete cellulare e persino far cadere una chiamata in corso. Google ha già distribuito una correzione con l’aggiornamento di sicurezza di ottobre 2026, ma non tutti i dispositivi risultano protetti.
Come funziona l’SMS della morte
La vulnerabilità sfrutta il modo in cui Android gestisce alcuni messaggi durante la fase di ricezione. Normalmente, quando arriva un SMS, il sistema operativo deve elaborarlo prima di renderlo disponibile nell’applicazione di messaggistica.
È proprio in questo passaggio che si inserisce l’attacco. Un messaggio preparato con una struttura specifica può provocare un errore durante l’elaborazione, mandando in crash alcune componenti del sistema.
La vittima non deve necessariamente aprire la conversazione, cliccare su un collegamento o scaricare un allegato. Il semplice arrivo del messaggio può essere sufficiente ad attivare il problema.
Le conseguenze non si limitano alla chiusura dell’applicazione SMS. Tra gli effetti segnalati ci sono l’interruzione della connessione alla rete cellulare e la caduta delle chiamate già avviate, comprese quelle dirette ai numeri di emergenza.
Un altro elemento che rende difficile riconoscere l’attacco è l’assenza di un avviso evidente. L’utente potrebbe ritrovarsi improvvisamente con il telefono bloccato o riavviato, senza capire immediatamente che la causa è un messaggio ricevuto.
Bastano 20 SMS per provocare riavvii continui
La situazione può diventare ancora più complicata quando i messaggi dannosi vengono recapitati più volte. Secondo quanto riferito dal ricercatore, l’invio di appena 20 SMS preparati per sfruttare la vulnerabilità può innescare un ciclo continuo di riavvii.
Durante una prova condotta su uno smartphone con Android 12, il dispositivo è entrato ripetutamente nella modalità di ripristino, con intervalli di circa 90 secondi tra un episodio e l’altro.
Il problema, in questo scenario, non riguarda soltanto il singolo crash. Se il sistema continua a tentare di elaborare messaggi dannosi, può diventare impossibile utilizzare normalmente il telefono.
Nel test descritto, per ripristinare il funzionamento dello smartphone è stato necessario riportarlo alle impostazioni di fabbrica. Si tratta di un intervento particolarmente invasivo, perché può comportare la perdita dei dati presenti sul dispositivo se non è disponibile un backup.
La possibilità che i messaggi vengano recapitati nuovamente dall’operatore o che il sistema tenti di elaborare SMS già memorizzati può rendere il recupero ancora più complicato.
Quali versioni di Android sono vulnerabili?
Google ha corretto la vulnerabilità con l’aggiornamento di sicurezza di ottobre 2026. La patch è stata distribuita per Android 17, Android 16, Android 15 e Android 14.
La situazione è invece più delicata per i dispositivi che utilizzano Android 12 e Android 13, che secondo le informazioni pubblicate risultano ancora esposti al problema.
Questo significa che non è sufficiente sapere quale produttore ha realizzato lo smartphone: bisogna verificare anche la versione di Android installata e, soprattutto, il livello della patch di sicurezza.
Per controllare la situazione è possibile aprire le impostazioni del dispositivo e cercare la sezione dedicata alle informazioni software o agli aggiornamenti di sicurezza. I nomi dei menu possono cambiare leggermente a seconda del produttore.
Se è disponibile un aggiornamento di sicurezza più recente, è importante installarlo. La correzione distribuita da Google rappresenta infatti la misura principale per proteggersi dalla vulnerabilità.
Esiste un modo per eliminare gli SMS dannosi?
È stata individuata anche una procedura alternativa per rimuovere i messaggi pericolosi senza dover necessariamente attendere un aggiornamento software.
Un collaboratore di GitHub, identificato con il nome Sakis, ha descritto un metodo basato su ADB (Android Debug Bridge), uno strumento utilizzato dagli sviluppatori per comunicare con i dispositivi Android attraverso un computer.
ADB permette di eseguire operazioni sul telefono tramite comandi impartiti da una finestra di terminale. In questo caso, la procedura può essere utilizzata per intervenire sui messaggi dannosi presenti nel dispositivo.
Non è però una soluzione adatta a tutti. Richiede una certa familiarità con gli strumenti di sviluppo Android e con i comandi da utilizzare. Un’operazione eseguita in modo errato potrebbe creare ulteriori problemi, soprattutto su uno smartphone che presenta già riavvii continui.
Per la maggior parte degli utenti, quindi, la strada più semplice rimane installare la patch di sicurezza quando disponibile.
Cosa fare per proteggere il proprio smartphone
La vulnerabilità CVE-2026-58882 dimostra che anche un semplice SMS può diventare uno strumento per provocare problemi seri a uno smartphone, senza bisogno che l’utente compia un’azione particolare.
In questo caso, le normali raccomandazioni contro il phishing, come evitare di aprire collegamenti sospetti o scaricare allegati sconosciuti, non sono sufficienti: il problema può attivarsi durante la ricezione del messaggio.
La priorità è quindi verificare la disponibilità degli aggiornamenti di sicurezza e installare la correzione distribuita da Google. Chi utilizza ancora Android 12 o Android 13 dovrebbe prestare particolare attenzione, considerando che queste versioni risultano esposte secondo le informazioni disponibili.
È inoltre consigliabile mantenere aggiornati i backup dei propri dati, soprattutto se si utilizza uno smartphone che non riceve più aggiornamenti regolari.
L’SMS della morte non è il classico messaggio truffa che cerca di convincere l’utente a fornire password o dati personali. È una vulnerabilità del sistema operativo che sfrutta il modo in cui vengono elaborati i messaggi in arrivo. Ed è proprio questo a renderla particolarmente insidiosa.
