L’SMS della morte svela il vero difetto di Android: patch lente

È davvero un bug lo scandalo, quando la correzione esiste da settimane e non è ancora arrivata in molte tasche? L’«SMS della morte» è un brutto ceffo, ma la storia più scomoda è quanto tempo aspettano gli utenti Android per avere la cura.

Un messaggio invisibile può lasciare il tuo smartphone senza rete

Il ricercatore di sicurezza Mark Blaszczyk ha pubblicato i dettagli di una falla, insieme a una proof of concept, che permette a un messaggio WAP Push appositamente costruito di mandare in crash la parte di Android che gestisce il servizio cellulare. Secondo Heise via Chip, il messaggio è invisibile: non arriva mai nella posta in arrivo. Un telefono colpito può riavviarsi circa ogni 90 secondi e proporre la cancellazione dei dati in modalità di ripristino.

Blogspan riferisce che il ricercatore ha avvisato Google il 5 maggio e che la correzione copre da Android 14 a 17 a partire dall’aggiornamento di ottobre. Android 12 e 13, a quanto pare, restano senza nulla. Anche le chiamate di emergenza possono cadere. Quest’ultimo dettaglio trasforma un fastidio in un problema di sicurezza.

Il bug è comune; la catena di distribuzione è il difetto

La causa tecnica è quasi banale: un campo di lunghezza convertito senza validazione diventa negativo e il codice non intercetta l’errore che ne deriva. Ogni grande codebase ha bug del genere, scommetteremmo. Quello che conta è il tempo tra «corretto» e «installato».

Come osserva la stampa tedesca, se non hai un Pixel possono servire settimane o addirittura mesi prima che il produttore distribuisca le patch di Google. È questa la debolezza strutturale. Google può scrivere la correzione, ma non può premere il pulsante sul tuo Galaxy, sul tuo Xiaomi o su qualunque altro telefono tu abbia in tasca. Nel frattempo il codice dell’exploit è pubblico. A nostro avviso è questa combinazione a meritare l’allarme: una ricetta pubblicata, un codice upstream corretto e una lunga coda di telefoni lasciati scoperti nel mezzo.

Conviene anche mantenere la minaccia nelle giuste proporzioni. È un crash da remoto, non un furto di dati, e nulla di ciò che abbiamo letto fa pensare a uno sfruttamento di massa. Ma un telefono che perde le chiamate, l’accesso alle emergenze e forse i tuoi dati (se vai nel panico e tocchi «Cancella dati») è tutt’altro che innocuo. Anche creare disservizi è un’arma, e sembra economica da puntare.

I telefoni vecchi sono i perdenti silenziosi

La riga più dura riguarda Android 12 e 13. Quei dispositivi probabilmente resteranno vulnerabili, a meno che i produttori non scrivano patch proprie. Blogspan indica una conseguenza netta per gli smartphone aziendali con quelle versioni: è un motivo per sostituirli. Noi andremmo oltre. Se un messaggio di testo può disattivare un telefono e il produttore non lo risolve, quel dispositivo ha smesso di essere un telefono affidabile.

C’è anche un problema di verifica. Blogspan nota che il numero CVE citato da BleepingComputer non compariva, al 1 novembre, nei registri MITRE e NVD che ha controllato, e che il bollettino di ottobre di Google non nomina la falla. L’indicazione «ottobre 2026 o successivo» arriva solo dal ricercatore. Questo non la rende sbagliata, ma significa che gli utenti devono fidarsi molto, il che è già di per sé un difetto di trasparenza.

Controlla oggi la data della tua patch, poi le abitudini del tuo produttore

Controlla la data della patch di sicurezza: Impostazioni, Informazioni sul telefono, versione di Android (i menu cambiano da marchio a marchio). Se indica ottobre 2026 o successivo, secondo il ricercatore sei protetto. In caso contrario, installa qualsiasi aggiornamento in sospeso e riavvia. Non aspettare la notifica automatica.

Se il tuo telefono è già in loop, non toccare «Cancella dati». Il ricercatore descrive una via di ripristino tramite un computer e Android Debug Bridge, ma è un ripiego per chi se la cava con la tecnica, non un sostituto dell’aggiornamento.

Il nostro verdetto: smettiamola di trattare la velocità degli aggiornamenti come una nota a piè di pagina nelle schede tecniche. Quando comprerai il tuo prossimo Android, chiedi con che rapidità il produttore distribuisce le patch di Google e per quanti anni. Finché i produttori non saranno chiamati a rispondere di questo standard, il prossimo «SMS della morte» troverà probabilmente la stessa lunga coda di telefoni non aggiornati.