# SMS de mort : un SMS invisible peut bloquer les appels sur Android

_Publié le 1 novembre 2026 — https://ip73.fr/2026/11/01/sms-de-mort-un-sms-invisible-peut-bloquer-les-appels-sur-android/_

Un simple message texte, transmis de manière invisible via le réseau mobile, suffit à faire planter les services téléphoniques d'un téléphone Android. Ce mécanisme, baptisé « SMS de mort », permet à un attaquant à distance de paralyser l'appareil, empêchant même l'appel aux services d'urgence, et ce, sans que l'utilisateur n'ait à ouvrir ou cliquer sur quoi que ce soit.

Cette vulnérabilité, documentée par le chercheur indépendant Mark Blaszczyk, cible spécifiquement le composant Android nommé « WapPushOverSms », situé dans le chemin « frameworks/opt/telephony ». Le problème réside dans la manière dont le système gère un type de message plus complexe que le SMS traditionnel : le WAP Push.

Le WAP Push, qui arrive souvent sous forme d'un SMS binaire, n'est pas affiché dans la boîte de réception classique. Le téléphone le traite automatiquement, car il contient des données structurées destinées à des services mobiles. C'est cette automatisation qui rend l'attaque si dangereuse : elle est dite « zero-click ». L'attaquant n'a pas besoin de convaincre l'utilisateur de faire quoi que ce soit.

Techniquement, la faille provient d'une mauvaise gestion d'une donnée numérique lors de l'interprétation du message. La fonction « decodeWapPdu() » lit la longueur d'un en-tête en utilisant une valeur encodée en « uintvar », initialement vue comme un nombre sur 64 bits. Lorsque cette valeur est ensuite convertie en entier sur 32 bits sans vérification préalable de sa plage, elle peut se transformer en un nombre négatif. Android interprète alors cette valeur négative comme la taille d'un tableau à allouer, ce qui déclenche une exception de type « NegativeArraySizeException ».

Selon l'analyse de Blaszczyk, un simple en-tête WSP de cinq octets peut générer la valeur « -2147483648 », suffisante pour provoquer le dysfonctionnement. Cette exception non gérée fait planter le processus « com.android.phone », celui qui gère toutes les fonctions de téléphonie.

## L'impact sur la disponibilité du service

L'effet immédiat est une perte temporaire de connectivité et l'interruption de tous les appels actifs, y compris ceux destinés aux urgences. Le chercheur a noté que chaque traitement de ce message malveillant peut causer une interruption de service d'une à deux secondes, le temps que le composant soit redémarré.

Mais le risque s'aggrave bien au-delà d'un simple bug passager. Le message injecté peut demeurer dans la file d'attente des SMS entrants et être retraité lors des tentatives de livraison successives. Les mécanismes de retransmission des opérateurs peuvent ainsi transformer ce crash isolé en une condition de déni de service persistant. Blaszczyk rapporte avoir observé des instabilités jusqu'à une semaine après réception d'un seul message, et l'envoi d'environ vingt messages pourrait rendre l'appareil inutilisable durablement.

Dans les cas les plus graves, le processus téléphonique peut continuer à planter au démarrage du système, menant à un état similaire à une boucle de démarrage. Pour un utilisateur lambda, se remettre de ce genre de blocage nécessite des interventions techniques lourdes, utilisant par exemple l'Android Debug Bridge (ADB) sur un ordinateur.

## Les appareils concernés et les correctifs disponibles

Cette vulnérabilité n'est pas théorique ; les tests menés par Mark Blah ont confirmé sa reproductibilité sur divers modèles, incluant des téléphones Google Pixel 9 ainsi que des séries Galaxy et Galaxy A de Samsung. Le code vulnérable semble présent sur une large gamme d'Android, allant de la version 12 à la version 17.

Cependant, la couverture des correctifs n'est pas uniforme. D'après la documentation du chercheur, Google a déployé une correction via sa mise à jour de sécurité d'octobre 2026 pour Android 14, 15, 16 et 17. Les appareils plus anciens, ceux tournant sous Android 12 ou 13, risquent de rester exposés s'ils ne reçoivent pas les mises à jour adéquates de la part de leurs fabricants.

| Version Android | Exemples d'appareils | Statut de la correction |
| :--- | :--- | :--- |
| Android 12 et 13 | Divers modèles anciens | Risques d'exposition si non mis à jour |
| Android 14 à 17 | Google Pixel 9, Samsung Galaxy | Correctif distribué (Octobre 2026) |

## Sources

- [SMS of Death: Android under attack, an invisible SMS can block calls and emergency services](https://securityaffairs.com/202184/security/sms-of-death-android-under-attack-an-invisible-sms-can-block-calls-and-emergency-services.html), Security Affairs, 1 novembre 2026
- [„SMS des Todes“: Sicherheitslücke lässt Android-Smartphones abstürzen](https://www.heise.de/news/SMS-des-Todes-Sicherheitsluecke-laesst-Android-Smartphones-abstuerzen-11506526.html?wt_mc=rss.red.ho.ho.atom.beitrag.beitrag), Heise, 30 octobre 2026