Ce « SMS de la Mort » peut faire planter votre smartphone en boucle, et il est invisible
Des chercheurs ont découvert une faille des smartphones Android permettant de les faire planter en envoyant un SMS spécial. Le plus effrayant, c’est que ce dernier ne déclenche aucune notification et n’apparaît nulle part.
Les SMS ont beau être tombés en désuétude depuis l’essor du protocole RCS, ils existent encore. Pour les situation où envoyer un message par RCS n’est pas possible par exemple, ou simplement par choix. Le problème, c’est que cet ancien système est moins sécurisé que le nouveau, ce qui aboutit parfois à des cyberattaques où le simple envoi d’un SMS peut causer des ravages sur un smartphone. Là, c’est encore pire.
Le chercheur en cybersécurité Mark Blaszczyk a découvert une faille dans Android remontant selon lui à Android 12, soit à 2021. En l’exploitant, des personnes mal intentionnées peuvent dans le meilleur des cas vous empêcher de passer des appels, dans le pire des cas rendre votre mobile inutilisable. L’attaque se base sur l’envoi d’un SMS un peu spécial, que l’expert a baptisé « SMS of Death », littéralement SMS de la Mort.
Un SMS invisible qui coupe les appels et fait planter les smartphones Android
Il s’agit d’un SMS conçu pour déclencher le comportement souhaité. Sa particularité est qu’il est totalement invisible. Vous ne recevez pas de notification pour vous avertir de son arrivée, et ne le voyez pas dans la la liste des SMS reçus. Android n’arrive pas à traiter le contenu du message, avec pour conséquence de faire planter le système qui gère les appels, coupant celui en cours le cas échéant. Même un appel aux services d’urgence n’y échappe pas.
Ensuite, Android va essayer plusieurs fois de traiter le SMS, ce qui au bout d’une vingtaine de tentatives fait entrer le smartphone dans une boucle de plantages. Une restauration d’usine ne résout pas forcément le problème, votre opérateur pouvant renvoyer le message à l’allumage. La solution est de connecter l’appareil à un PC et effacer manuellement le SMS.
Mark Blaszczyk a averti Google de sa découverte le 5 mai, mais la firme a répondu qu’il ne s’agissait pas d’une faille de sécurité. Pourtant, elle a bel et bien traité le souci en lui attribuant un numéro CVE (CVE-2026-58882). Ce qu’il faut retenir, c’est que la faille est corrigée dans la mise à jour de sécurité d’Android d’octobre 2026. Les versions 14 à 17 sont concernées, les plus anciennes restant vulnérables.
