# Un SMS peut faire planter un Android non corrigé, y compris pendant un appel d'urgence

> La preuve de concept de CVE-2026-58882 est publique. Le correctif d'octobre 2026 couvre Android 14 à 17, pas Android 12 ni 13.

- Source : KLYNLABS (https://klynlabs.eu)
- URL : https://klynlabs.eu/articles/android-cve-2026-58882-sms-plante-appel-urgence
- Auteur : Kelvyn
- Publié le : 31 octobre 2026 (2026-10-31T16:46:52.319Z)
- Rubrique : Cybersécurité
- Sujets : Google, Android, Vulnérabilité, CVE-2026-58882, WAP Push
- Langue : français

Le 31 octobre 2026, le chercheur Mark Blah a publié une preuve de concept pour la faille CVE-2026-58882, surnommée « SMS of Death », qui fait planter à distance le service téléphonique d'Android à la réception d'un message WAP Push malformé. Selon BleepingComputer, Google a corrigé le défaut dans les mises à jour de sécurité d'octobre 2026 pour Android 14 à 17, mais les téléphones sous Android 12 et 13 ne reçoivent pas ce correctif.

L'attaque ne demande aucun geste de la personne visée. Android traite le message avant qu'il n'arrive dans la boîte de réception : rien ne s'affiche, aucun expéditeur inconnu ne sert d'indice. Le processus qui gère le cellulaire, com.android.phone, s'arrête. Un appel en cours est coupé, y compris un appel vers les secours. Le chercheur décrit un défaut de contrôle sur une longueur d'en-tête, interprétée comme une taille négative, qui déclenche une exception et tue le processus. Le détail du message malformé n'a pas sa place ici : une preuve de concept publique existe déjà, et la recopier n'aide pas à se protéger.

## Qui est concerné par le SMS of Death ?

Toute personne dont le téléphone Android n'a pas installé le correctif d'octobre 2026. BleepingComputer rapporte que le correctif, intitulé chez Google « Fix remote DoS in decodeWapPdu », attrape l'exception et efface aussi les messages malveillants de la base SMS, pour éviter qu'ils ne fassent planter le téléphone à chaque relecture. La faille ne figure pas dans le bulletin de sécurité Android d'octobre, toujours selon le même article. La disponibilité réelle dépend du constructeur et de l'opérateur, et un redémarrage peut être nécessaire.

Android 12 et Android 13 restent exposés parce que ces versions ne reçoivent plus le correctif. Ce n'est pas une faille théorique : le chercheur a publié un outil capable d'envoyer le message depuis un autre téléphone Android. Lors de ses essais, une vingtaine de messages a suffi à bloquer des appareils dans une boucle de redémarrages. Sur un téléphone Android 12, l'appareil revenait en mode recovery environ toutes les 90 secondes, et seul un retour aux réglages d'usine a permis de s'en sortir. Un contributeur a documenté une suppression des messages via un ordinateur et l'outil ADB ; la manœuvre est technique, et elle n'est pas à la portée de quelqu'un qui n'a qu'un téléphone sous la main.

> Tant que la mise à jour de sécurité d'octobre 2026 n'est pas installée, un SMS invisible peut couper un appel, y compris vers les urgences. Les téléphones Android 12 et 13 ne sont pas corrigés par cette mise à jour.

## Que faire sur un téléphone Android ?

Installer la mise à jour de sécurité la plus récente, puis redémarrer. Sur un appareil encore suivi par son constructeur, c'est la seule mesure qui ferme la faille. Si le téléphone redémarre en boucle après la réception de messages, le scénario décrit par le chercheur est un retour aux réglages d'usine, avec la perte des données locales que cela implique, ou une intervention avec un ordinateur. Il n'y a pas de lien à ne pas ouvrir : le message n'apparaît pas.

Le correctif ne protège pas rétroactivement un modèle abandonné. Un Android 12 ou 13 utilisé comme téléphone principal reste joignable par ce canal tant qu'il a une carte SIM. Le passage à un appareil encore mis à jour est, dans ce cas, la réduction de risque réelle, pas un réglage caché du système. Les iPhone ne sont pas concernés par CVE-2026-58882 : le défaut est dans la pile téléphonique d'Android.

## Ce que le bulletin d'octobre ne dit pas

L'absence de la faille dans le bulletin public d'octobre ne signifie pas que le correctif n'existe pas : BleepingComputer rapporte qu'il est dans les mises à jour d'octobre pour Android 14 à 17. Elle signifie qu'un utilisateur ne peut pas cocher une ligne CVE-2026-58882 dans la note de version. Le bon réflexe est de vérifier la date du correctif de sécurité dans les paramètres, pas de chercher le numéro de faille. Aucune exploitation massive n'est documentée dans l'article du 31 octobre ; la publication de la preuve de concept rend l'envoi à la portée de quelqu'un qui dispose d'un second téléphone et du code publié.

## Source

Article de Lawrence Abrams sur [BleepingComputer](https://www.bleepingcomputer.com/news/security/new-android-sms-of-death-exploit-can-remotely-crash-unpatched-phones/), publié le 31 octobre 2026 et lu intégralement. Les versions corrigées, l'absence au bulletin d'octobre et les essais du chercheur Mark Blah sont rapportés par ce média.

## À retenir

- La faille CVE-2026-58882 permet de faire planter le service téléphonique d'Android avec un message WAP Push, sans action de la victime et sans SMS visible.
- Google a corrigé le défaut dans les mises à jour d'octobre 2026 pour Android 14 à 17, selon BleepingComputer, mais pas pour Android 12 et 13.
- Un appel en cours, y compris vers les secours, peut être coupé tant que le téléphone n'a pas installé le correctif et redémarré.
- La preuve de concept est publique depuis le 31 octobre 2026 ; la faille ne figurait pas dans le bulletin de sécurité Android d'octobre.

---

Article publié par KLYNLABS, signé Kelvyn. À citer avec son lien : https://klynlabs.eu/articles/android-cve-2026-58882-sms-plante-appel-urgence