SMS of Death : comment fonctionne la faille Android ?

La faille repose sur un SMS de type WAP Push malformé, long de seulement 8 octets. D'après la description du chercheur, ce message déclenche une exception de type NegativeArraySizeException, qui fait tomber le processus com.android.phone, le composant chargé de la téléphonie sur Android.

Conséquence directe : les appels en cours sont coupés, y compris ceux vers les services d'urgence. Le message est traité avant d'arriver dans la boîte de réception des SMS. La victime ne voit donc aucun texte suspect et ignore la cause du problème.

Il ne s'agit pas d'un outil de vol de mots de passe ou de données personnelles. C'est une vulnérabilité de déni de service : elle perturbe l'usage du téléphone sans en extraire d'informations.

Boucles de redémarrage : le risque pour les utilisateurs Android

Le chercheur affirme que l'envoi répété de messages malveillants peut enfermer un appareil dans une boucle de redémarrage, au point d'exiger une réinitialisation d'usine. Il évoque le chiffre de 20 messages pour y parvenir.

Il a aussi publié une preuve de concept capable d'envoyer ces messages depuis un autre appareil Android, et l'exploit est disponible sur GitHub. À ce jour, aucune attaque de grande ampleur contre des utilisateurs Android n'a été confirmée.

Pour se remettre d'une boucle de redémarrage, le chercheur décrit une méthode : déplacer la carte SIM vers un téléphone qui ne tourne pas sous Android, puis effacer les SMS via ADB. Elle demande des compétences techniques avancées et reste hors de portée de la plupart des utilisateurs.

Google a-t-il corrigé la faille SMS of Death ?

Mark Blaszczyk indique avoir signalé le problème à Google le 5 mai 2026, via le programme de récompense des vulnérabilités Android et appareils. Il a publié ses conclusions le 29 octobre, près de six mois plus tard.

Selon son site de divulgation, Google a marqué le rapport « Won't Fix » et le traite comme un problème hors sécurité. Le chercheur dit avoir fait appel par plusieurs tickets, et Google aurait réaffirmé cette classification le 29 octobre. Google n'a pas confirmé publiquement ces échanges.

Le bulletin de sécurité Android d'octobre 2026 ne nomme pas « SMS of Death » et n'identifie pas explicitement la divulgation du chercheur. La faille n'y figure pas. Les appareils sous Android 12 et 13, qui n'ont pas reçu de correctif, restent vulnérables, et Google ne prend plus en charge ces deux versions.

Comment vérifier si votre smartphone Android est protégé ?

Le point décisif est la version d'Android installée sur le téléphone et la réception ou non du dernier correctif de sécurité. Le déploiement dépend du constructeur et de l'opérateur, et aucune date par pays n'a été communiquée. Aucune restriction géographique n'est signalée : la faille touche le cœur de la téléphonie Android.

  • Ouvrez les réglages du téléphone, rubrique « À propos du téléphone », puis consultez la version d'Android et le niveau du correctif de sécurité.
  • Installez sans attendre les mises à jour de sécurité proposées par le constructeur.
  • Si l'appareil tourne sous Android 12 ou 13, aucun correctif n'a été publié pour ces versions : un changement de téléphone ou une ROM encore maintenue sont les seules pistes de protection durable.

Il n'existe aucun prix associé : il s'agit d'un correctif logiciel, pas d'un produit à acheter.