Un SMS peut faire planter un téléphone Android, sans correctif pour Android 12 et 13

Un chercheur a publié un code d’attaque fonctionnel exploitant une faille d’Android qui permet à quiconque connaît votre numéro de faire planter votre téléphone avec un seul SMS. Surnommé le « SMS de la mort », le message n’apparaît jamais dans votre boîte de réception et ne nécessite aucune intervention de votre part. Il met hors service la partie d’Android qui gère les appels et le réseau mobile, interrompant tout appel en cours, y compris un appel aux services d’urgence. Google a corrigé la faille dans les versions actuelles d’Android, mais les anciens téléphones qui ne reçoivent plus de mises à jour de sécurité resteront vulnérables.

Pour la plupart des utilisateurs, la question est simple : votre téléphone a-t-il installé sa dernière mise à jour de sécurité ? La faille se trouve dans le code de téléphonie central d’Android, fourni par tous les fabricants : elle n’est donc pas propre à une marque. Le chercheur, qui publie sous le nom de Mark B, affirme que le plantage s’est reproduit à chaque fois sur un Google Pixel et sur plusieurs Samsung Galaxy, y compris des modèles moins chers de la série A, qui n’avaient pas encore reçu le correctif.

L’attaque exploite WAP Push, un ancien format de message utilisé par les opérateurs pour envoyer des paramètres aux téléphones en arrière-plan. Un message malformé pousse Android à tenter de réserver une quantité négative de mémoire, ce qui fait planter le processus chargé des appels et du signal. Chaque message prive la victime de service pendant une ou deux secondes. C’est leur répétition qui cause les dégâts. Les opérateurs renvoient les messages auxquels un téléphone n’a pas répondu et, lors des tests du chercheur, un seul message a provoqué des interruptions intermittentes pendant une semaine. Une vingtaine de messages ont rendu un téléphone inutilisable.

Les messages piégés restent également dans la file d’attente et sont traités à nouveau à chaque démarrage. Lors des tests, un téléphone sous Android 12 a redémarré en mode de récupération environ toutes les 90 secondes. Un propriétaire ordinaire ne pourrait sortir de cette boucle qu’en réinitialisant le téléphone aux paramètres d’usine, ce qui effacerait son contenu. Un contributeur au projet connu sous le nom de Sakis a trouvé un moyen de supprimer uniquement les messages malveillants, mais il faut pour cela un ordinateur, les outils de développement Android et intervenir rapidement pendant le bref intervalle qui suit chaque redémarrage.

Le chercheur, qui présente la faille en prenant pour exemple le numéro d’urgence australien Triple Zero, relève un effet secondaire surprenant. La réglementation australienne impose aux opérateurs de repérer les téléphones incapables de joindre les services d’urgence et, à terme, de les déconnecter. Telstra indique qu’il bloque ces appareils si rien ne change dans les 28 jours. Selon le chercheur, un pirate capable de faire échouer à volonté les appels d’urgence d’un téléphone pourrait ainsi faire interdire l’accès au réseau à l’appareil même de sa victime.

Il convient toutefois de relativiser le danger. Il s’agit d’une attaque par déni de service, et non d’une intrusion : le message ne peut ni lire vos données, ni installer quoi que ce soit, ni prendre le contrôle du téléphone. L’attaquant doit connaître votre numéro et disposer d’un moyen d’envoyer des messages de données brutes. L’outil publié les envoie depuis un autre téléphone Android équipé d’une carte SIM, ce qui laisse une trace chez l’opérateur. Aucun signalement public n’indique jusqu’ici que la faille ait été exploitée contre de vraies personnes. Comme l’a relevé BleepingComputer, le bulletin de sécurité d’octobre de Google ne mentionne pas non plus le correctif : les propriétaires d’anciens téléphones n’ont donc reçu aucun avertissement officiel sur leur exposition.

Pour vérifier, ouvrez les paramètres, puis allez dans « À propos du téléphone » ou « Sécurité » et consultez la date de la mise à jour de sécurité Android. Toute mise à jour datant d’octobre 2026 ou d’une date ultérieure comprend le correctif. Samsung, Motorola, Xiaomi et les autres fabricants déploient les correctifs selon leur propre calendrier, et les opérateurs peuvent en retarder la diffusion : un téléphone équipé d’une version plus récente d’Android peut donc encore attendre. Pour les appareils bloqués sous Android 12 ou 13, la seule protection complète consiste à passer à un téléphone qui reçoit encore des mises à jour.

Le chercheur a signalé la faille au programme de récompenses de Google pour les vulnérabilités Android le 5 mai. Un ingénieur de Google a rédigé le correctif à la mi-juin, et celui-ci a été intégré à la mise à jour de sécurité d’octobre 2026 pour Android 14 à 17. L’article détaillant la faille et la preuve de concept ont été publiés le 29 octobre. Google n’a pas ajouté le contrôle de longueur proposé par le chercheur : son correctif détecte le plantage et supprime le message malveillant pour empêcher qu’il ne se déclenche à nouveau.

Les anciens téléphones Android se retrouvent donc dans une situation étrange. Ils permettent toujours de passer des appels normalement. Mais rien ne garantit qu’ils puissent en mener un à son terme.

Étiquettes: Google, cybersécurité, Android, Google Pixel, Samsung Galaxy, BleepingComputer