Une faille Android baptisée « SMS of Death » permet de faire planter un smartphone à distance avec un simple SMS invisible, et de couper au passage les appels d’urgence. Google l’a bien corrigée en octobre, mais pas sur toutes les versions.
La vulnérabilité « SMS of Death », ou SMS de la mort en français, touche le cœur téléphonique d’Android. Un SMS malformé suffit à faire planter le service qui gère les appels et le réseau d’un smartphone. Signalée à Google le 5 mai 2026 par un chercheur en sécurité qui a tout détaillé sur un dépôt GitHub, elle a été rendue publique le 29 octobre, avec un code d’attaque librement téléchargeable. Google a publié un correctif dans la mise à jour de sécurité d’octobre, mais seules les derniers versions d’Android (14 à 17) en bénéficient.
Une faille Android déclenchée sans le moindre clic
La faille, aussi repérée par Cyber Security News, vient de la façon dont Android lit une catégorie bien particulière de SMS, appelée WAP Push. Ces SMS techniques, que l'utilisateur ne voit jamais, servent encore à transmettre des informations en coulisses, comme l'arrivée d'un MMS. Chacun commence par un en-tête qui annonce sa propre taille, et le code d'Android chargé de le lire la prend pour argent comptant, sans aucun contrôle. Un message piégé de quelques octets annonce donc une taille démesurée qui, une fois convertie par Android, se transforme en nombre négatif. Le système tente alors de réserver en mémoire un espace de taille négative, ce qui est impossible. Faute d'avoir prévu ce cas, c'est tout le service qui gère les appels et le réseau, com.android.phone, qui s'effondre. Le problème ne date pas d'hier puisque le plantage a été reproduit d'Android 12 à Android 16, sur un Pixel 9 comme sur plusieurs Samsung Galaxy, avec un succès à chaque essai.
Le plus troublant, c'est que l'attaque est dite « zéro clic ». La victime n'a rien à faire. Il n'y a ni lien à cliquer ni pièce jointe à ouvrir. Le cybercriminel a seulement besoin de son numéro. Le message ne s'affiche pas dans l'application Messages, et l'expéditeur reste dans l'ombre. Le seul signe visible peut être une perte de réseau d'une ou deux secondes, le temps que le service redémarre. Les appels en cours, eux, sont coupés sans préavis, y compris un appel aux secours. Et ce n'est pas encore le pire !
Comme le téléphone n'a pas accusé réception, l'opérateur renvoie le message, qui déclenche un nouveau plantage. Lors des tests, un unique SMS a ainsi provoqué des coupures intermittentes jusqu'à une semaine durant, et une vingtaine d'envois rendent tout simplement l'appareil inutilisable pour longtemps. Encore plus grave, le message piégé reste en attente et se rejoue à chaque démarrage. Le smartphone peut alors redémarrer en boucle, environ toutes les 90 secondes, sur un écran de récupération qui propose d'effacer toutes les données.
Une faille Android corrigée, mais pas pour tout le monde
Pour sortir de ce calvaire sans tout perdre, il faut brancher le téléphone à un ordinateur et supprimer les messages fautifs avec ADB, un outil de développeur, dans la courte fenêtre qui suit chaque démarrage. Le grand public finira plutôt par accepter la réinitialisation d'usine. Le chercheur pointe aussi un effet pervers en Australie, où la réglementation oblige les opérateurs à couper les mobiles incapables d'appeler le 000, le numéro d'urgence local. Durcie en 2024 après l'arrêt de la 3G, cette règle se traduit par exemple chez Telstra par un blocage si le client ne réagit pas sous 28 jours. En théorie, un attaquant pourrait donc, à coups de SMS piégés, faire purement et simplement bannir du réseau le téléphone de sa victime.
La faille, qui fut signalée le 5 mai 2026 via le programme de récompense de Google, a fait l'objet d'un correctif écrit par un ingénieur dès le 15 juin, qui a seulement été diffusé avec la mise à jour de sécurité d'octobre. Plutôt que d'ajouter le simple contrôle de taille suggéré par le chercheur, la firme de Mountain View a choisi de rattraper l'erreur au vol et de supprimer le message piégé, ce qui empêche le téléphone de replonger dans la boucle. Mais surtout, gardons bien à l'esprit que ce correctif ne concerne qu'Android 14 à 17. Android 12 et 13, sortis de la période de mises à jour, restent donc vulnérables.
Ces versions oubliées ont d'autant plus de souci à se faire que le chercheur a publié tout son code d'attaque sur GitHub, avec une application prête à l'emploi. Deux jours après sa mise en ligne, le projet affichait plus de 300 étoiles et 71 copies (forks). Dans les paramètres, vérifiez que le niveau du correctif de sécurité indique octobre 2026 ou plus récent. Si votre téléphone ne reçoit plus de mises à jour, c'est peut-être le signe qu'il est temps d'en changer.
