Android, patch di novembre: un SMS potrebbe bloccare la rete e il PoC è in rete
Chi usa uno smartphone o un tablet con Android 14, 15, 16 (anche 16-qpr2) o 17 e una patch di sicurezza precedente a novembre 2026 deve installare gli aggiornamenti disponibili. Lo indica l’alert del CSIRT Italia (ACN) pubblicato il 3 novembre sul bollettino Android di novembre di Google. Tra le 149 vulnerabilità corrette c’è la CVE-2026-58882, per cui in rete è disponibile un Proof of Concept: basta un SMS, senza alcun gesto della vittima.
Chi è esposto e cosa fare
Sono indicati i dispositivi con quelle versioni di Android e una patch di sicurezza precedente a novembre 2026.
L’ACN, in linea con le indicazioni del produttore, raccomanda di applicare tempestivamente gli aggiornamenti di sicurezza Android. Arrivano in due modi:
- dal produttore del dispositivo, con l’aggiornamento di sistema;
- tramite i Google Play System Updates.
Cosa permette l’attacco: un SMS e il telefono perde la rete
La CVE-2026-58882 è nota come «SMS of Death». È una vulnerabilità di tipo Denial of Service e si trova nel componente WapPushOverSms di Android. Secondo l’ACN, la causa è un controllo non adeguato sui parametri che la funzione decodeWapPdu usa quando elabora i messaggi WAP Push.
Chi attacca può inviare un SMS WAP Push appositamente predisposto. Non serve alcuna interazione da parte dell’utente preso di mira.
L’effetto descritto dall’alert è l’arresto anomalo del processo com.android.phone. Ne risentono i servizi di rete cellulare e le comunicazioni vocali in corso, comprese quelle di emergenza. In determinate circostanze l’indisponibilità può diventare persistente, con riavvii ripetuti del dispositivo.
Il PoC pubblico e il resto del bollettino
Google ha pubblicato il bollettino di sicurezza Android di novembre con correzioni per 149 vulnerabilità: 12 hanno gravità «critica» e 137 «alta». Nella tabella dell’alert la CVE-2026-58882 è l’unica con il PoC segnato come «Presente». Nella colonna dello sfruttamento attivo compare un trattino: nessun dato.
Le tipologie di vulnerabilità elencate dall’alert per il bollettino sono quattro:
- Remote Code Execution;
- Elevation of Privilege;
- Denial of Service;
- Information Disclosure.
Cosa dice l’alert del CSIRT Italia
L’alert, codice AL02/261103/CSIRT-ITA, è del 3 novembre 2026. Come riferimento indica il bollettino Android di novembre su source.android.com, dove Google elenca le correzioni.
