"SMS della Morte": Android a Rischio Blocco Chiamate, la Correzione Google è Pronta ma Lenta a Diffondersi
Una falla di sicurezza appena scoperta in Android, ribattezzata "SMS of Death", minaccia di compromettere gravemente la funzionalità dei dispositivi, consentendo ad aggressori remoti di disabilitare il servizio telefonico tramite un semplice messaggio di testo appositamente contraffatto. La preoccupazione è accentuata dal fatto che l'attacco può essere eseguito senza alcuna interazione da parte dell'utente (non è necessario aprire o visualizzare il messaggio) e che tra le comunicazioni potenzialmente interrotte rientrano anche le chiamate ai servizi di emergenza.
La vulnerabilità è stata individuata e documentata dal ricercatore di sicurezza Mark Blaszczyk, che ne ha confermato l'efficacia su dispositivi Google Pixel e Samsung Galaxy. La buona notizia è che Google ha già sviluppato un aggiornamento correttivo. Tuttavia, permangono incertezze significative sui tempi necessari affinché questa patch raggiunga tutti i dispositivi Android interessati.
Il meccanismo dell'attacco sfrutta un messaggio di testo non standard progettato per causare un errore di elaborazione nel sistema operativo Android. A differenza di un normale SMS, questo messaggio non viene visualizzato nella posta in arrivo e non genera notifiche, impedendo all'utente di rendersi conto del tentativo di manomissione.
Il cuore del problema risiede nel componente software responsabile della gestione delle chiamate telefoniche. Alla ricezione del messaggio malevolo, questo componente va in crash, interrompendo immediatamente qualsiasi conversazione in corso. Questo rischio riguarda non solo le chiamate personali o di lavoro, ma anche quelle vitali dirette ai numeri di pronto intervento, che potrebbero essere interrotte proprio nel momento del bisogno.
Ma non finisce qui: le conseguenze non si limitano a un singolo crash. Android potrebbe tentare automaticamente di elaborare il messaggio problematico, innescando cicli infiniti di riavvii del servizio telefonico. Secondo Blaszczyk, circa 20 messaggi di questo tipo potrebbero essere sufficienti per mandare un dispositivo in crash a ripetizione, rendendolo di fatto inutilizzabile.
Nemmeno un ripristino alle impostazioni di fabbrica potrebbe risolvere il problema in modo definitivo se l'operatore telefonico inviasse nuovamente i messaggi incriminati. Il recupero del dispositivo senza perdita di dati potrebbe richiedere procedure complesse che implicano il collegamento a un computer e l'eliminazione manuale dei file responsabili degli SMS.
Il codice vulnerabile sembra essere presente fin da Android 12, ma l'esposizione effettiva dipende dallo stato degli aggiornamenti di sicurezza installati sul dispositivo. Gli smartphone non più supportati o che non ricevono più aggiornamenti rimarranno vulnerabili indefinitamente.
La gestione della segnalazione della vulnerabilità ha un risvolto curioso. Blaszczyk afferma di aver notificato Google il 5 maggio, ma l'azienda avrebbe inizialmente respinto la segnalazione, classificando la vulnerabilità come "non correlata alla sicurezza". Frustrato dalla risposta, il ricercatore ha deciso di rendere pubblica la scoperta il 29 ottobre, fornendo una dimostrazione funzionante dell'attacco.
Nel frattempo, però, Google aveva lavorato discretamente a una soluzione. I log del codice sorgente indicano che una patch era stata sviluppata già il 15 giugno. Questo aggiornamento modifica il comportamento del sistema quando incontra il messaggio problematico, gestendo l'errore e rimuovendo il messaggio senza mandare in crash il servizio telefonico.
GrapheneOS, un progetto di sistema operativo focalizzato sulla privacy, ha chiarito che Google aveva già incluso la correzione nelle anteprime di sicurezza di luglio. La vulnerabilità è stata identificata come CVE-2026-58882 e ha ricevuto una classificazione di gravità "critica".
Riguardo alla distribuzione, le timeline fornite da Blaszczyk e GrapheneOS sembrano divergere: secondo il ricercatore, la correzione è inclusa negli aggiornamenti di sicurezza di ottobre da Android 14 a Android 17, mentre GrapheneOS indica che verrà inclusa nel bollettino di novembre. Queste informazioni non sono necessariamente in contraddizione: i produttori possono implementare le correzioni prima del bollettino pubblico, e la distribuzione dipende dai singoli produttori e operatori.
Resta da chiarire perché Google abbia inizialmente respinto la segnalazione nonostante avesse già sviluppato una patch. Tra le possibili spiegazioni ipotizzate vi sono problemi di comunicazione interna o segnalazioni duplicate, ma finora l'azienda non ha rilasciato dichiarazioni ufficiali. Sebbene Google abbia inizialmente negato che si trattasse di un problema di sicurezza, la successiva patch e la classificazione critica della vulnerabilità raccontano una storia diversa. Questo non implica necessariamente una gestione intenzionalmente superficiale, ma solleva interrogativi interessanti sulla gestione delle vulnerabilità all'interno di un'azienda così grande.
Per gli utenti Android, il consiglio principale è di verificare la disponibilità degli aggiornamenti e di installare l'ultima patch di sicurezza distribuita per il proprio dispositivo il prima possibile. Data la possibilità che l'attacco "SMS of Death" comprometta persino le chiamate di emergenza, è fondamentale non sottovalutare l'importanza degli aggiornamenti, specialmente per i dispositivi che non hanno ancora ricevuto le ultime protezioni.
