Una falla nella gestione dei messaggi WAP Push da parte di Android può consentire a un pacchetto di dati appositamente creato di compromettere le funzioni di chiamata di un telefono senza che l’utente apra o persino veda un messaggio. L’attacco è classificato come denial of service e, secondo la documentazione tecnica descritta nel rapporto, al mittente basta conoscere il numero di telefono del destinatario.
Il messaggio non compare nell’app di messaggistica e non mostra alcun mittente. Il telefono lo elabora invece silenziosamente al suo arrivo. Un’intestazione malformata può provocare un errore di calcolo interno e far chiudere il processo telefonico di Android, com.android.phone.
Questo può terminare una chiamata in corso e lasciare il dispositivo senza servizio mobile per diversi secondi mentre il software tenta di riavviarsi. Poiché una rete può inviare di nuovo un messaggio se non riceve una conferma, l’interruzione può persistere. Nei casi più gravi, il messaggio può rimanere bloccato in memoria e causare riavvii ripetuti, impedendo le chiamate, comprese quelle ai servizi di emergenza come il 112.
La falla risale a WAP Push, un protocollo più datato, un tempo usato dagli operatori di telefonia mobile per configurare le connessioni Internet e inviare link multimediali ai primi telefoni a conchiglia. Sebbene la tecnologia sia obsoleta, il codice che la gestisce è ancora presente nelle librerie di telefonia di Android.
Google ha incluso una correzione nella patch di sicurezza di Android di ottobre 2026. L’aggiornamento dovrebbe gestire l’errore senza provocare il blocco del telefono e rimuovere il messaggio dalla memoria. La disponibilità dipende dalla rapidità con cui produttori come Xiaomi, Samsung e Oppo distribuiranno la patch.
Per controllare il livello della patch di sicurezza, apri le impostazioni del telefono e cerca la voce “Informazioni sul telefono” o una sezione simile. I dispositivi con il livello della patch del 1° ottobre 2026 o successivo includono la correzione; i telefoni con un livello precedente devono attendere un aggiornamento.
Fonti: Xataka Móvil.