Une faille sur Android peut couper le réseau et faire planter un smartphone via un SMS malformé. Le point clé, c’est la mise à jour d’octobre.
En bref
- Un SMS peut faire tomber le réseau
- Les appels peuvent être interrompus
- Le patch d’octobre est crucial
Le vrai problème, ce sont les appels coupés
Ce bug ne se contente pas de faire planter un mobile. Sur Android, il peut aussi couper la connectivité cellulaire et interrompre un appel déjà en cours, y compris un appel d’urgence. Là, on n’est plus dans le plantage agaçant, mais dans un vrai sujet de fiabilité réseau.
Le point gênant, c’est que l’utilisateur n’a rien à ouvrir. Le SMS malveillant est traité par le système avant même d’arriver dans la messagerie. Résultat, le téléphone peut tomber sans signe évident, et vous ne voyez pas tout de suite d’où vient la panne.
Une faille triviale à déclencher, pénible à stopper
Le chercheur Mark Blah a classé cette faille sous la référence CVE-2026-58882. Son principe repose sur un message WAP Push malformé envoyé vers la cible. Le souci vient d’une mauvaise validation de longueur d’en-tête dans la fonction WapPushOverSms.decodeWapPdu d’Android.
Quand le système traduit ce message, il obtient une valeur négative et tente quand même d’allouer de la mémoire. Cela déclenche une NegativeArraySizeException, puis fait tomber le processus com.android.phone, celui qui pilote les fonctions cellulaires. Pas besoin d’un bombardement massif, 20 messages malformés suffisent.
Et ce n’est pas fini. Mark Blah explique que le message reste en file d’attente et réessaie à chaque redémarrage tant qu’il n’est pas supprimé. En gros, vous rallumez le téléphone, il retraitre le message, puis il replante.
Qui est exposé et qui a déjà le correctif
Les versions concernées vont d’Android 12 à 16, avec des observations sur plusieurs appareils, notamment des Pixel 9 et des Samsung Galaxy. Le correctif semble avoir été intégré dans la mise à jour de sécurité d’octobre 2026.
Mais il y a un angle mort. Ce patch vise les branches Android 14 à 17. Pour les appareils encore sous Android 12 ou 13, il n’apparaît pas disponible à ce stade. C’est là que la fragmentation redevient un problème très concret pour l’écosystème mobile.
Selon le correctif déployé par Google, le système bloque désormais le crash en interceptant les exceptions provoquées par ces messages, puis efface les SMS fautifs de la base pour éviter la boucle.
Pourquoi cette affaire compte maintenant
La bonne nouvelle, c’est que l’attaque ne semble pas déployée à grande échelle. La moins bonne, c’est qu’une preuve de concept fonctionnelle circule déjà. Donc le risque peut bouger vite, surtout sur des cibles individuelles.
Sur les appareils pris en charge, les mises à jour de sécurité Android s’installent souvent automatiquement. Mais la disponibilité dépend encore du constructeur et parfois de l’opérateur. Vérifier la présence du patch d’octobre, puis redémarrer si nécessaire, c’est clairement le réflexe utile. Sollicité, Google n’avait pas répondu publiquement sur le classement initial du signalement.
