// CLUBIC — MOBILE & WEB
Un seul SMS invisible peut faire planter votre téléphone Android, et même couper un appel d’urgence
Une faille Android baptisée « SMS of Death » permet de faire planter un smartphone à distance avec un simple SMS invisible, et de couper au passage les appels d’urgence. Google l’a bien corrigée en octobre, mais pas sur toutes les versions.
La vulnérabilité « SMS of Death », ou SMS de la mort en français, touche le cœur téléphonique d’Android. Un SMS malformé suffit à faire planter le service qui gère les appels et le réseau d’un smartphone. Signalée à Google le 5 mai 2026 par un chercheur en sécurité qui a tout détaillé sur un dépôt GitHub, elle a été rendue publique le 29 octobre, avec un code d’attaque librement téléchargeable. Google a publié un correctif dans la mise à jour de sécurité d’octobre, mais seules les derniers versions d’Android (14 à 17) en bénéficient.
La faille, aussi repérée par Cyber Security News, vient de la façon dont Android lit une catégorie bien particulière de SMS, appelée WAP Push. Ces SMS techniques, que l'utilisateur ne voit jamais, servent encore à transmettre des informations en coulisses, comme l'arrivée d'un MMS. Chacun commence par un en-tête qui annonce sa propre taille, et le code d'Android chargé de le lire la prend pour argent comptant, sans aucun contrôle. Un message piégé de quelques octets annonce donc une taille démesurée qui, une fois convertie par Android, se transforme en nombre négatif. Le système tente alors de réserver en mémoire un espace de taille négative, ce qui est impossible. Faute d'avoir prévu ce cas, c'est tout le service qui gère les appels et le réseau, com.android.phone, qui s'effondre. Le problème ne date pas d'hier puisque le plantage a été reproduit d'Android 12 à Android 16, sur un Pixel 9 comme sur plusieurs Samsung Galaxy, avec un succès à chaque essai.
Le plus troublant, c'est que l'attaque est dite « zéro clic ». La victime n'a rien à faire. Il n'y a ni lien à cliquer ni pièce jointe à ouvrir. Le cybercriminel a seulement besoin de son numéro. Le message ne s'affiche pas dans l'application Messages, et l'expéditeur reste dans l'ombre. Le seul signe visible peut être une perte de réseau d'une ou deux secondes, le temps que le service redémarre. Les appels en cours, eux, sont coupés sans préavis, y compris un appel aux secours. Et ce n'est pas encore le pire !
Comme le téléphone n'a pas accusé réception, l'opérateur renvoie le message, qui déclenche un nouveau plantage. Lors des tests, un unique SMS a ainsi provoqué des coupures intermittentes jusqu'à une semaine durant, et une vingtaine d'envois rendent tout simplement l'appareil inutilisable pour longtemps. Encore plus grave, le message piégé reste en attente et se rejoue à chaque démarrage. Le smartphone peut alors redémarrer en boucle, environ toutes les 90 secondes, sur un écran de récupération qui propose d'effacer toutes les données.
Pour sortir de ce calvaire sans tout perdre, il faut brancher le téléphone à un ordinateur et supprimer les messages fautifs avec ADB, un outil de développeur, dans la courte fenêtre qui suit chaque démarrage. Le grand public finira plutôt par accepter la réinitialisation d'usine. Le chercheur pointe aussi un effet pervers en Australie, où la réglementation oblige les opérateurs à couper les mobiles incapables d'appeler le 000, le numéro d'urgence local. Durcie en 2024 après l'arrêt de la 3G, cette règle se traduit par exemple chez Telstra par un blocage si le client ne réagit pas sous 28 jours. En théorie, un attaquant pourrait donc, à coups de SMS piégés, faire purement et simplement bannir du réseau le téléphone de sa victime.
La faille, qui fut signalée le 5 mai 2026 via le programme de récompense de Google, a fait l'objet d'un correctif écrit par un ingénieur dès le 15 juin, qui a seulement été diffusé avec la mise à jour de sécurité d'octobre. Plutôt que d'ajouter le simple contrôle de taille suggéré par le chercheur, la firme de Mountain View a choisi de rattraper l'erreur au vol et de supprimer le message piégé, ce qui empêche le téléphone de replonger dans la