« Le SMS de la mort » : ce simple message peut rendre votre smartphone inutilisable

Un SMS au contenu bien particulier peut faire planter un téléphone Android, sans aucune action de la victime, aucun clic sur un lien. Baptisée « SMS of Death », cette faille peut rendre le téléphone difficile à utiliser même après un redémarrage.

Le chercheur indépendant en cybersécurité Mark Blaszczyk a rendu publique une faille zero day sur Android. Pas de panique, elle a été corrigée par Google avant et votre téléphone ne court aucun risque. Mais le fonctionnement de cette faille est tout à fait intéressant.

Un « SMS of Death » qui peut faire des dégâts sur votre smartphone Android

Mark Blaszczyk a donc publié le résultat de ses recherches sur Internet et il décrit en détail comment fonctionne cette faille. Elle se trouve dans le composant Android plus très utilisé, un ancien format de « data SMS », utilisé historiquement pour des notifications de MMS ou des contenus push. Il n’apparaît jamais à l’écran, puisqu’il se contente de fonctionner en arrière-plan. Le problème vient en réalité d’une conversion mal encadrée : Android lit la longueur de l’en-tête d’un message comme un entier long, puis la convertit en entier signé 32 bits sans vérifier que la valeur reste plausible.

Avec la séquence de cinq octets 88 80 80 80 00, cette valeur devient -2147483648. Face à ça, Android tente alors de créer un tableau d’octets de cette taille négative, ce qui tue le processus com.android.phone qui gère… la téléphonie, rien que ça. Chaque message malformé comme cela coupe donc le service durant une à deux secondes, le temps que ce processus redémarre. Ce qui coupe tout simplement les appels en cours.

Une faille bien particulière, puisqu’elle est qualifiée de zero click, c’est-à-dire que la victime n’a rien à ouvrir, installer ou valider. Un attaquant a seulement besoin de son numéro de téléphone, et le message n’apparaît pas dans la boîte de réception ni dans les notifications.

Comment cette faille peut casser votre téléphone

Comme l’explique Mark Blaszczyk, un seul SMS provoque une brève interruption. Mais l’attaquant peut renvoyer autant de faux SMS qu’il le souhaite, ce qui relance le crash. Un seul SMS peut provoquer des coupures intermittentes durant jusqu’à une semaine et vingt messages peuvent rendre un appareil inutilisable encore plus longtemps. Avec une trentaine de messages envoyés rapidement, les crashs répétés peuvent corrompre la base SQLite utilisée pour stocker les SMS. Le téléphone peut alors planter à chaque démarrage, sans qu’un nouveau message soit nécessaire.

Faire une réinitialisation d’usine peut aider à corriger le problème, mais pas nécessairement. Et c’est normal, puisqu’un pirate peut renvoyer ce même SMS. Pour le chercheur en cybersécurité, la seule solution est de retirer la carte SIM physique et la mettre dans un téléphone autre qu’un modèle sous Android, puis de supprimer les SMS corrompus. Mais si vous avez une eSIM, l’opération est quasiment impossible.

La faille a été corrigée : pas de panique

Mark Blaszczyk, lorsqu’il a découvert cette faille, l’a d’abord signalée à Google le 5 mai dernier via le programme Android and Devices Vulnerability Reward Program. Dans un premier temps, Google l’a classé comme un problème non sécuritaire et n’a pas estimé que sa gravité était suffisante. Mais le 15 juin 2026, un correctif a été développé, puis intégré à la mise à jour de sécurité d’Android d’octobre 2026 pour les modèles d’Android 14 à Android 17. Si vous voulez en être protégé, soit vous en êtes déjà protégé et si ce n’est pas le cas, vous n’avez rien à faire : votre téléphone se mettra tout seul à jour.

Il faut également préciser que cette faille ne permet pas de voler des données, d’installer un logiciel espion ou même de prendre le contrôle d’un téléphone. Son seul impact est une sorte d’attaque par déni de service : un pirate peut empêcher sa victime d’appeler, de recevoir des appels ou d’utiliser le réseau mobile. Le danger le plus sérieux concerne néanmoins les appels d’urgence, ce qui peut être particulièrement problématique. À ce stade, aucune utilisation de cette faille par des pirates n’a été observée.