Le « SMS de la mort » révèle la vraie faille d’Android : des correctifs trop lents

Un bug est-il vraiment le scandale quand le correctif existe depuis des semaines et n’est toujours pas arrivé dans bien des poches ? Le « SMS de la mort » est un sale outil, mais l’histoire la plus gênante, c’est le temps que les utilisateurs d’Android attendent le remède.

Un message invisible peut couper votre téléphone du réseau

Le chercheur en sécurité Mark Blaszczyk a publié les détails d’une faille, avec une preuve de concept, qui permet à un message WAP Push spécialement conçu de faire planter la partie d’Android qui gère le réseau mobile. D’après Heise via Chip, le message est invisible: il n’arrive jamais dans la boîte de réception. Un téléphone touché peut redémarrer environ toutes les 90 secondes et proposer d’effacer les données en mode de récupération.

Blogspan indique que le chercheur a prévenu Google le 5 mai et que le correctif couvre Android 14 à 17 à partir de la mise à jour d’octobre. Android 12 et 13 n’auraient rien. Les appels d’urgence peuvent aussi être coupés. Ce dernier détail transforme une nuisance en problème de sécurité.

Le bug est banal; c’est la chaîne de diffusion qui est la faille

La cause technique est presque banale: un champ de longueur converti sans validation devient négatif, et le code ne détecte pas l’erreur qui en résulte. Toute grande base de code contient des bugs de ce genre, parions-le. Ce qui compte, c’est le délai entre « corrigé » et « installé ».

Comme le note la presse allemande, si vous n’avez pas de Pixel, il peut falloir des semaines, voire des mois, avant que votre fabricant ne diffuse les correctifs de Google. Voilà la faiblesse structurelle. Google peut écrire le correctif, mais il ne peut pas appuyer sur le bouton de votre Galaxy, de votre Xiaomi ou de ce que vous avez en poche. Pendant ce temps, le code d’exploitation est public. À notre avis, c’est cette combinaison qui mérite l’alarme: une recette publiée, un code amont corrigé et une longue traîne de téléphones laissés sans défense entre les deux.

Il faut aussi garder la menace à sa juste proportion. Il s’agit d’un plantage à distance, pas d’un vol de données, et rien de ce que nous avons lu ne laisse penser à une exploitation massive. Mais un téléphone qui perd les appels, l’accès aux urgences et peut-être vos données (si vous paniquez et touchez « Effacer les données ») n’est guère inoffensif. La perturbation est aussi une arme, et elle paraît bon marché à viser.

Les anciens téléphones, grands perdants silencieux

La ligne la plus accablante concerne Android 12 et 13. Ces appareils resteront probablement vulnérables, sauf si les fabricants écrivent leurs propres correctifs. Blogspan évoque une conséquence directe pour les téléphones professionnels sous ces versions: c’est une raison de les remplacer. Nous irions plus loin. Si un SMS peut mettre un téléphone hors service et que le fabricant ne le corrige pas, cet appareil a cessé d’être un téléphone fiable.

Il y a aussi un problème de vérification. Blogspan note que le numéro CVE cité par BleepingComputer n’apparaissait pas, au 1er novembre, dans les enregistrements MITRE et NVD qu’il a consultés, et que le bulletin d’octobre de Google ne nomme pas la faille. La consigne « octobre 2026 ou plus récent » vient du seul chercheur. Cela ne la rend pas fausse, mais les utilisateurs doivent beaucoup se fier à sa parole, ce qui est en soi un défaut de transparence.

Vérifiez dès aujourd’hui la date de votre correctif, puis les habitudes de votre fabricant

Vérifiez la date de votre correctif de sécurité: Paramètres, À propos du téléphone, version d’Android (les menus varient selon la marque). Si elle indique octobre 2026 ou plus tard, vous êtes protégé selon le chercheur. Sinon, installez toute mise à jour en attente et redémarrez. N’attendez pas la notification automatique.

Si votre téléphone tourne déjà en boucle, ne touchez pas « Effacer les données ». Le chercheur décrit une voie de récupération via un ordinateur et Android Debug Bridge, mais c’est un palliatif pour les utilisateurs à l’aise avec la technique, pas un substitut à la mise à jour.

Notre verdict: cessons de traiter la rapidité des mises à jour comme une note de bas de page des fiches techniques. En achetant votre prochain Android, demandez avec quelle rapidité le fabricant diffuse les correctifs de Google et pendant combien d’années. Tant que les fabricants ne seront pas tenus à cette exigence, le prochain « SMS de la mort » trouvera probablement la même longue file de téléphones non corrigés.