Lo chiamano “SMS della morte”. Non bisogna aprirlo, non bisogna cliccare nulla e può persino interrompere una telefonata. Prima di organizzare il funerale del nostro smartphone, però, vediamo che cosa c’è di vero
PERCHÉ CONTA
Una vulnerabilità di Android, identificata come CVE-2026-58882, permette a un SMS appositamente costruito di mandare in errore il sistema telefonico senza alcuna azione dell’utente. Le conseguenze possono andare dall’interruzione di una chiamata a blocchi ripetuti del dispositivo. Google ha predisposto una correzione, ma non tutti gli smartphone l’hanno necessariamente ricevuta. Un telefono può funzionare perfettamente ed essere comunque vulnerabile perché non riceve più aggiornamenti di sicurezza.
Una volta gli SMS si limitavano a farci perdere tempo
Ricordate quando il massimo pericolo di un SMS era ricevere l’ennesimo messaggio che annunciava una vincita milionaria, un pacco misteriosamente bloccato oppure un conto corrente da verificare con urgenza? Erano messaggi fastidiosi, certamente. Ma almeno avevano la cortesia di chiederti di cliccare su qualcosa per metterti nei guai. Adesso pare che non serva neppure quello.
Il ricercatore di sicurezza Mark Blaszczyk ha documentato una vulnerabilità di Android che consente di provocare il malfunzionamento della componente telefonica di uno smartphone semplicemente inviandogli un SMS appositamente costruito. Il destinatario non deve aprirlo, leggerlo o rispondere. Anzi, con ogni probabilità non si accorgerà nemmeno di averlo ricevuto.
La vulnerabilità, identificata come CVE-2026-58882, è stata soprannominata SMS of Death, ovvero “SMS della morte”. Nome indubbiamente suggestivo. Del resto, nel settore informatico, chiamare una vulnerabilità “errore nella gestione di un messaggio WAP Push” non avrebbe avuto lo stesso successo.
Il difetto è stato segnalato a Google il 5 maggio 2026 e reso pubblico il 29 ottobre, dopo alcuni mesi dedicati alla gestione della segnalazione e alla preparazione della correzione.
Come fa un SMS a mandare in crisi un telefono?
Per capire che cosa succede, bisogna sapere che non tutti gli SMS sono messaggi di testo come quelli che ci scambiavamo prima dell’arrivo di WhatsApp. Alcuni trasportano informazioni tecniche, destinate a essere interpretate direttamente dal sistema operativo. Tra questi ci sono i messaggi WAP Push, una tecnologia che arriva da un’epoca in cui i telefoni avevano ancora i tasti e collegarsi a Internet dal cellulare era un’esperienza che richiedeva una certa dose di pazienza.
Android contiene ancora componenti software che gestiscono questa tipologia di messaggi. Il ricercatore ha individuato un difetto proprio in uno di questi componenti, chiamato WapPushOverSms. In determinate condizioni, un messaggio preparato appositamente può contenere un valore numerico che il sistema non gestisce correttamente. Il risultato è un errore che provoca l’arresto del processo Android responsabile di importanti funzioni telefoniche.
In parole semplici, il telefono riceve un’informazione, prova a interpretarla e va in crisi. Un po’ come certi centralini automatici quando chiediamo di parlare con un operatore in carne e ossa. La differenza è che qui le conseguenze possono essere decisamente meno divertenti.
E c’è un particolare importante: il messaggio viene elaborato prima di raggiungere la normale applicazione degli SMS. Non compare nella casella dei messaggi e non richiede alcun intervento. È per questo che si parla di attacco zero-click: non serve che il destinatario faccia qualcosa di sbagliato.
Il telefono funziona, ma la telefonata cade
Uno degli aspetti più preoccupanti riguarda proprio le chiamate. Durante i test, il ricercatore ha dimostrato che un singolo SMS malevolo può interrompere una conversazione telefonica in corso, comprese quelle verso i numeri di emergenza. Il processo responsabile delle funzioni telefoniche può riavviarsi automaticamente dopo pochi secondi, ma la chiamata nel frattempo è già caduta.
E qui la faccenda si fa interessante, anche se non particolarmente rassicurante. Il messaggio che ha provocato il problema può infatti essere elaborato nuovamente dal dispositivo oppure ritrasmesso dalla rete perché la precedente consegna non è stata completata correttamente. Il risultato? Lo stesso errore può ripetersi.
Durante le prove, circa venti messaggi sono stati sufficienti a rendere uno smartphone praticamente inutilizzabile per un periodo prolungato. Su un dispositivo con Android 12, il ricercatore ha osservato addirittura una sequenza di crash e riavvii che portava periodicamente il telefono nella modalità di ripristino.
In pratica, il dispositivo continuava a inciampare nello stesso problema senza riuscire a uscirne. Una specie di giornata lavorativa particolarmente difficile, ma vissuta da uno smartphone. In informatica questo genere di attacco viene definito Denial of Service, abbreviato DoS: rendere indisponibile un servizio o compromettere il funzionamento di un sistema.
Ed è importante sottolinearlo, perché quando leggiamo la parola “attacco” associata a uno smartphone tendiamo subito a immaginare fotografie rubate, password sottratte e conversazioni intercettate.
In questo caso non è ciò che è stato dimostrato.
La vulnerabilità documentata riguarda la possibilità di interrompere le comunicazioni telefoniche o compromettere la stabilità del dispositivo, non di impossessarsi dei dati personali. Che, intendiamoci, non è esattamente una bella notizia.
Quali smartphone Android sono davvero a rischio?
Qui conviene ridimensionare un po’ i titoli allarmistici che stanno circolando. La vulnerabilità è stata riprodotta su diversi dispositivi, tra cui Google Pixel e Samsung Galaxy, e riguarda codice presente in più versioni del sistema operativo Android. Questo, però, non significa che chiunque possieda uno smartphone Android debba considerarlo automaticamente vulnerabile. La differenza la fanno soprattutto gli aggiornamenti installati e il supporto software garantito dal produttore.
Google ha predisposto una correzione nel giugno 2026. Secondo la ricostruzione del ricercatore, la protezione è stata distribuita con gli aggiornamenti di sicurezza di ottobre per Android dalla versione 14 alla 17. Per i Google Pixel ancora supportati è stato distribuito l’aggiornamento con livello di patch del 5 ottobre 2026. Per i dispositivi degli altri produttori, invece, è necessario verificare la disponibilità effettiva della correzione per il proprio modello.
C’è una precisazione tecnica da fare: l’identificativo CVE-2026-58882 non compare esplicitamente nel bollettino ufficiale Android di ottobre. La presenza della correzione nel codice è documentata, ma non bisogna confondere la sua disponibilità con l’avvenuta installazione su qualsiasi smartphone. La situazione è particolarmente delicata per i dispositivi rimasti ad Android 12 e 13, perché Google non ha distribuito questa correzione attraverso gli aggiornamenti previsti per tali versioni.
Non significa che ogni dispositivo con Android 12 o 13 sia necessariamente vulnerabile: eventuali interventi specifici dei produttori vanno verificati caso per caso. Ma per chi possiede uno smartphone che non riceve più aggiornamenti, il problema merita attenzione. Senza bisogno di gettare il telefono dalla finestra. Anche perché, a quel punto, il blocco del dispositivo sarebbe pressoché garantito.
Il problema degli smartphone che funzionano troppo bene
C’è un altro aspetto di questa vicenda che, a mio parere, merita una riflessione. Siamo abituati a considerare vecchio uno smartphone quando la batteria comincia a durare mezza giornata, le applicazioni diventano lente oppure lo schermo ha collezionato più crepe di un marciapiede trascurato. Ma esiste un’altra forma di invecchiamento, molto meno evidente: quella del software.
Un telefono può funzionare perfettamente anche dopo cinque o sei anni. Possiamo continuare a telefonare, utilizzare WhatsApp, leggere le email e consultare il navigatore senza alcuna difficoltà. Nel frattempo, però, il produttore potrebbe aver smesso di distribuire aggiornamenti di sicurezza. Ed ecco il paradosso: abbiamo tra le mani un dispositivo che funziona benissimo, ma che potrebbe non essere più adeguatamente protetto.
Non si tratta di un problema esclusivo di Android, naturalmente. Il principio riguarda qualsiasi dispositivo il cui software non venga più aggiornato. Questa vulnerabilità rappresenta soltanto un esempio particolarmente interessante, perché colpisce una funzione che diamo ormai per scontata: la possibilità di telefonare.
E forse, quando acquistiamo uno smartphone, dovremmo preoccuparci un po’ meno dell’ennesima fotocamera da centinaia di megapixel e un po’ di più di quanti anni di aggiornamenti ci vengono garantiti. Perché un telefono che scatta fotografie meravigliose ma non riceve più correzioni di sicurezza potrebbe non essere un grande affare.
E nelle aziende? La questione diventa ancora più seria
Immaginiamo un tecnico reperibile, un addetto alla sicurezza, un responsabile della manutenzione oppure un dipendente che lavora prevalentemente fuori sede. Per queste persone lo smartphone non è soltanto uno strumento per leggere messaggi e consultare i social network. È un dispositivo di lavoro.
Una chiamata che si interrompe nel momento sbagliato può rappresentare un problema concreto, soprattutto quando le comunicazioni sono legate alla sicurezza delle persone o alla continuità delle attività aziendali. E c’è un particolare che merita di essere sottolineato. In questa vicenda il problema non riguarda la copertura della rete mobile, la qualità del segnale o il funzionamento della SIM.
La rete può essere perfettamente disponibile, l’operatore può svolgere correttamente il proprio lavoro e il telefono può comunque non riuscire a gestire una chiamata a causa di un errore software. Un dettaglio che, nel mondo delle telecomunicazioni, non è affatto secondario. Per una volta, quindi, non possiamo attribuire automaticamente la responsabilità all’operatore telefonico. Lo so, è una circostanza alla quale qualcuno potrebbe non essere abituato. Ma il problema pone anche una questione organizzativa.
Quante aziende conoscono realmente la versione del sistema operativo installata sugli smartphone dei propri dipendenti? Quante verificano periodicamente se i dispositivi ricevono ancora aggiornamenti? E quante considerano la durata del supporto software quando scelgono nuovi telefoni aziendali?
Probabilmente sono aspetti ai quali si presta meno attenzione rispetto ai costi delle SIM, ai giga disponibili o alle caratteristiche dei dispositivi. Eppure, la continuità delle comunicazioni aziendali dipende anche dall’affidabilità e dalla sicurezza degli smartphone utilizzati. Non soltanto dalla qualità della rete.
Come proteggersi senza farsi prendere dal panico
La prima precauzione è verificare che lo smartphone abbia installato gli aggiornamenti di sicurezza più recenti. Su molti dispositivi Android queste informazioni si trovano nelle impostazioni dedicate alla sicurezza o agli aggiornamenti software. Il percorso può cambiare a seconda del produttore. Conviene inoltre verificare se il proprio modello riceva ancora aggiornamenti ufficiali.
Per questa specifica vulnerabilità, sui dispositivi Android 14 e successivi è importante controllare la disponibilità della correzione distribuita con gli aggiornamenti di ottobre 2026, senza presumere che la semplice presenza di una versione recente del sistema operativo garantisca automaticamente la protezione.
Non esiste una semplice impostazione dell’app SMS che possa essere considerata una soluzione affidabile: il messaggio malevolo viene elaborato direttamente da componenti del sistema, prima di arrivare alla normale casella dei messaggi.
Se un dispositivo manifesta blocchi ripetuti della componente telefonica dopo aver ricevuto messaggi di questo tipo, il ricercatore ha documentato anche una procedura di recupero tramite ADB, uno strumento tecnico utilizzato per comunicare con Android attraverso un computer.
Questa procedura può consentire di eliminare i messaggi problematici senza dover necessariamente cancellare tutti i dati del telefono. Non è però un’operazione alla portata di chiunque e non è garantito che possa essere eseguita in ogni situazione.
Meglio quindi rivolgersi a personale competente, soprattutto prima di tentare un ripristino completo del dispositivo.
Per le aziende che gestiscono numerosi smartphone, mantenere un inventario dei modelli utilizzati, delle versioni Android installate e delle date di fine supporto dovrebbe diventare una normale attività di manutenzione.
Non servirà a evitare ogni problema, naturalmente, ma permetterà almeno di sapere quali dispositivi sono ancora adeguatamente mantenuti e quali meritano una sostituzione programmata.
Siamo davvero davanti a un’emergenza?
Al 2 novembre 2026 non risultano evidenze pubbliche confermate di campagne di attacco su larga scala che sfruttino questa specifica vulnerabilità. Il ricercatore ha pubblicato una dimostrazione tecnica funzionante, quindi il problema non è soltanto teorico. Ma la disponibilità di uno strumento dimostrativo non equivale alla certezza che migliaia di smartphone siano già sotto attacco.
È opportuno distinguere tra ciò che è tecnicamente possibile, ciò che è stato riprodotto durante i test e ciò che sta effettivamente accadendo. Lo SMS of Death rappresenta una vulnerabilità concreta, ma non dimostra che qualsiasi smartphone Android possa essere messo fuori uso in qualunque momento, indipendentemente dagli aggiornamenti installati.
La precauzione più sensata resta quella di mantenere aggiornati i dispositivi e verificare che siano ancora supportati. Possibilmente senza farsi prendere dal panico ogni volta che arriva un SMS.
Una riflessione finale
La telefonia mobile ha fatto passi da gigante. Siamo passati dai cellulari che servivano quasi esclusivamente per telefonare a dispositivi capaci di riconoscere il nostro volto, tradurre conversazioni in tempo reale e svolgere operazioni che un tempo richiedevano un computer.
Eppure, un’informazione contenuta in un vecchio protocollo di messaggistica può ancora mandare in difficoltà una funzione fondamentale. C’è qualcosa di vagamente ironico in tutto questo.
Abbiamo smartphone sempre più intelligenti, ma ogni tanto dobbiamo ricordare loro che la prima cosa che dovrebbero saper fare è permetterci di telefonare. E magari senza andare in crisi per un SMS.
SMS della morte: tre domande prima di dichiarare il decesso dello smartphone
Sì. La vulnerabilità CVE-2026-58882 permette a un SMS opportunamente costruito di provocare l’arresto delle funzioni telefoniche su dispositivi Android vulnerabili. Il problema può interrompere le chiamate e, in alcune condizioni, provocare malfunzionamenti ripetuti.
Occorre verificare gli aggiornamenti di sicurezza installati e le indicazioni del produttore. Google ha distribuito una correzione nell’aggiornamento di ottobre 2026 per Android 14–17, ma la disponibilità effettiva dipende dal dispositivo.
Non è questa la conseguenza documentata. La vulnerabilità è di tipo Denial of Service: permette di compromettere il funzionamento delle comunicazioni telefoniche, senza che sia stata dimostrata, attraverso questo specifico difetto, la possibilità di sottrarre dati personali.
Fonti e approfondimenti
- SMS of Death – Ricerca tecnica originale
- DDay – Android, un solo SMS può fare danni
- Android Security Bulletin – Ottobre 2026
- Red Hot Cyber – Arriva l’SMS della morte
- BleepingComputer – Analisi della vulnerabilità
La sicurezza delle comunicazioni aziendali non dipende soltanto dalla rete.
Smartphone aggiornati, dispositivi affidabili e soluzioni di connettività adeguate sono elementi importanti per la continuità delle attività aziendali. Se desideri confrontarti sulle esigenze di telefonia della tua impresa, contattami.
Lascia un commento