« SMS de la mort » : votre smartphone pouvait être paralysé sans même toucher à l’écran

Une faille de sécurité baptisée « SMS of Death » permettait de rendre un smartphone Android inutilisable en lui envoyant un simple message, sans que son propriétaire ait besoin de cliquer ou même de le voir. Le problème a toutefois été corrigé par Google dans sa mise à jour de sécurité d’octobre 2026.

Un simple SMS pouvait suffire à faire planter un smartphone Android, sans aucune intervention de sa victime. Baptisée « SMS of Death », cette faille zero click a été découverte par le chercheur indépendant en cybersécurité Mark Blaszczyk. Elle exploitait un ancien mécanisme de messagerie pour provoquer des dysfonctionnements à répétition, jusqu’à potentiellement rendre un téléphone inutilisable.

La vulnérabilité a depuis été corrigée par Google. Elle n’a pas non plus permis de voler des données ou de prendre le contrôle d’un appareil. Son fonctionnement reste néanmoins particulièrement préoccupant, notamment parce que l’attaque ne nécessite aucune action de la victime. La faille se trouvait dans un ancien composant d’Android chargé de traiter les data SMS, un format de message historiquement utilisé pour certaines notifications MMS ou certains contenus transmis en arrière-plan. Contrairement aux SMS classiques, ces messages ne s’affichent pas dans la boîte de réception et ne déclenchent pas nécessairement de notification.

Le problème venait d’une erreur dans la manière dont Android interprétait certaines informations contenues dans le message. Une conversion de données mal encadrée pouvait produire une valeur négative anormale, conduisant le système à tenter de créer un tableau d’octets de taille impossible. Résultat : le processus com.android.phone, chargé notamment de gérer les fonctions téléphoniques, s’arrêtait brutalement avant de redémarrer. Chaque message malformé pouvait ainsi interrompre les services mobiles pendant une à deux secondes, coupant notamment les appels en cours.

L’attaque était particulièrement discrète : le pirate avait simplement besoin de connaître le numéro de téléphone de sa victime. Aucun lien à ouvrir, aucune application à installer et aucune autorisation à accorder. Un premier SMS provoquait une interruption temporaire. Mais en multipliant les envois, un attaquant pouvait provoquer des plantages à répétition. Selon les essais du chercheur, une vingtaine de messages pouvaient prolonger les dysfonctionnements, tandis qu’une trentaine envoyée rapidement pouvait aller beaucoup plus loin.

Les crashs répétés étaient alors susceptibles de corrompre la base de données SQLite utilisée pour stocker les SMS. Dans ce scénario, le smartphone pouvait finir par planter à chaque démarrage, même sans recevoir de nouveau message. Une simple réinitialisation d’usine ne garantissait pas forcément de résoudre le problème, puisque l’attaquant pouvait recommencer son opération. Le chercheur évoque une manipulation plus radicale : retirer la carte SIM physique, la placer dans un téléphone qui ne fonctionne pas sous Android, puis supprimer les messages corrompus. Une opération particulièrement compliquée, voire impossible dans certains cas, pour les utilisateurs d’une eSIM.

Google a corrigé la faille dans sa mise à jour d’octobre

Mark Blaszczyk a signalé la vulnérabilité à Google le 5 mai 2026, dans le cadre du programme Android and Devices Vulnerability Reward Program. Après une première évaluation qui ne la considérait pas comme un problème de sécurité suffisamment important, un correctif a finalement été développé le 15 juin.

Celui-ci a été intégré à la mise à jour de sécurité d’Android d’octobre 2026, pour les versions allant d’Android 14 à Android 17. Les utilisateurs qui ont installé cette mise à jour sont donc protégés. Pour les autres, il suffit de laisser leur smartphone recevoir et installer le correctif de sécurité proposé par Google.

Il convient enfin de relativiser la portée de cette vulnérabilité. Elle ne permettait ni de récupérer des données personnelles, ni d’installer un logiciel espion, ni de prendre le contrôle du smartphone. Il s’agissait avant tout d’une attaque par déni de service, empêchant potentiellement de passer ou de recevoir des appels. Le risque était toutefois sérieux pour les communications d’urgence, qui pouvaient elles aussi être perturbées. À ce stade, aucune exploitation de cette faille par des cybercriminels n’a été observée.

Cet article a été repris sur le site Univers FreeBox