Un SMS ne devrait pas figer votre Android : le vrai bug, c’est la lenteur des correctifs

Comment est-il acceptable qu’un message que vous ne voyez jamais, dans une boîte de réception que vous n’ouvrez jamais, puisse mettre hors service les services réseau de votre téléphone, appels d’urgence compris ? C’est la question dérangeante que soulève le « SMS de la mort », et elle mérite une meilleure réponse que « mettez à jour dès que possible ».

Selon des informations de dpa reprises par des médias allemands, le chercheur en sécurité Mark Blaszczyk a publié une faille qui permet à un SMS WAP Push caché de plonger les téléphones sous Android 12 à 17 dans une boucle de redémarrage, environ toutes les minutes et demie. L’écran de récupération vous invite alors à effacer vos données, ce qu’il ne faut pas faire. La récupération serait possible depuis un PC avec l’outil Android Debug Bridge.

D’après Udaipur Kiran, la faille est référencée sous le nom CVE-2026-58882 et tient à la façon dont le framework de télécommunication d’Android vérifie la longueur des données. Elle a été signalée à Google le 5 mai 2026, corrigée dans le code open source le 15 juin et divulguée le 29 octobre. Le même article indique que l’attaque peut perturber les appels et les services du réseau mobile, y compris les appels d’urgence.

Le bug est ancien; le scandale, c’est le retard

WAP Push est un mécanisme hérité qui permet aux opérateurs d’envoyer aux téléphones des instructions de configuration cachées. Notre avis: une fonction conçue pour une autre époque ne devrait pas pouvoir faire tomber le processus qui gère les appels et le réseau mobile, et l’on peut se demander pourquoi c’est encore possible. C’est un défaut d’ingénierie, mais un défaut classique. Les analyseurs complexes finissent par échouer.

Ce qui n’a rien d’inévitable, c’est le calendrier. La mise à jour de sécurité de Google pour Android 14 à 17 existe depuis au moins début octobre, mais hors Pixel, les fabricants peuvent mettre des semaines, voire des mois, à la diffuser. Les téléphones sous Android 12 et 13 resteront très probablement vulnérables, sauf si leurs fabricants écrivent leurs propres correctifs. Plus de quatre mois se sont écoulés entre la correction du code et la divulgation publique, et beaucoup d’utilisateurs ne peuvent toujours rien installer.

Jugez Google et les fabricants en jours, pas en promesses de mise à jour

Giga rapporte que 56,4 % des appareils Android actifs tournent désormais sous Android 14 ou plus récent, en partie grâce à Project Treble et Project Mainline, ainsi qu’à des promesses de mises à jour allant jusqu’à sept ans. C’est un vrai progrès, et c’est selon nous la partie sous-estimée de l’histoire. Mais cela signifie aussi que plus de 40 % des appareils fonctionnent avec des versions plus anciennes, et que Google a mis fin au support d’Android 13 en mars 2026.

Nous estimons donc qu’il faut changer d’étalon. Les années de promesses de mises à jour relèvent du marketing. Ce qui compte, c’est le nombre de jours entre le correctif de Google et votre écran de verrouillage. Samsung, Xiaomi, OnePlus et Motorola, toutes citées comme des marques où les utilisateurs doivent vérifier eux-mêmes les correctifs, devraient publier ce chiffre. Google, qui contrôle la plateforme et vend l’expérience Pixel de référence, devrait dire clairement quel retard il juge acceptable.

Il y a aussi une leçon de conception. Un plantage du processus qui gère les appels et le réseau mobile ne devrait pas pouvoir être déclenché par un message que l’utilisateur ne voit même pas. À tout le moins, un WAP Push mal formé devrait être rejeté sans faire tomber la téléphonie. C’est précisément l’objectif du correctif de Google, selon les informations disponibles, et nous pensons que ce comportement aurait dû être le comportement par défaut dès le départ.

En attendant le correctif, vérifiez à la main et gardez vos données

Ouvrez les Paramètres, cherchez Système ou Mise à jour logicielle, et installez tout correctif de sécurité disponible. Si votre téléphone reste bloqué sous Android 12 ou 13, nous y verrions un signal d’achat plutôt qu’une simple particularité. S’il se met un jour à tourner en boucle et propose de tout effacer, ne choisissez pas « Effacer les données »: branchez-le à un PC et suivez la procédure de récupération.

Et demandez à votre fabricant, publiquement et sans relâche, quand le correctif arrivera. La vulnérabilité était un bug. Le silence autour de sa diffusion est un choix.