Un SMS non dovrebbe poter bloccare il tuo Android: il vero bug è la lentezza delle patch

Com’è accettabile che un messaggio che non vedi mai, in una casella che non apri mai, possa mettere offline i servizi di rete del tuo telefono, chiamate di emergenza comprese? È la domanda scomoda dietro l’«SMS della morte», e merita una risposta migliore di «aggiorna quando puoi».

Secondo le notizie dpa riprese dai media tedeschi, il ricercatore di sicurezza Mark Blaszczyk ha pubblicato una falla che permette a un SMS WAP Push nascosto di mandare gli smartphone con Android da 12 a 17 in un ciclo di riavvii, più o meno ogni minuto e mezzo. La schermata di ripristino ti invita poi a cancellare i dati, cosa che non devi fare. Il recupero sarebbe possibile da un PC con lo strumento Android Debug Bridge.

Stando a Udaipur Kiran, il bug è censito come CVE-2026-58882 e si trova nel modo in cui il framework di telefonia di Android controlla la lunghezza dei dati. È stato segnalato a Google il 5 maggio 2026, corretto nel codice open source il 15 giugno e reso pubblico il 29 ottobre. Lo stesso resoconto sostiene che l’attacco può interrompere le chiamate e i servizi della rete mobile, comprese le chiamate di emergenza.

Il bug è vecchio; lo scandalo è il ritardo

WAP Push è un meccanismo ereditato dal passato che permette agli operatori di inviare agli smartphone istruzioni di configurazione nascoste. Il nostro parere: una funzione pensata per un’altra epoca non dovrebbe poter abbattere il processo che gestisce le chiamate e la rete mobile, edè lecito chiedersi perché ci riesca ancora. È un errore di ingegneria, ma un errore noto. I parser complessi falliscono.

Non è inevitabile, invece, la tempistica. L’aggiornamento di sicurezza di Google per Android da 14 a 17 esiste almeno dall’inizio di ottobre, ma fuori dai Pixel i produttori possono impiegare settimane o mesi per distribuirlo. Gli smartphone con Android 12 e 13 resteranno quasi certamente vulnerabili, a meno che i produttori non scrivano patch proprie. Tra la correzione del codice e la divulgazione pubblica sono passati più di quattro mesi, e molte persone ancora non possono installare nulla.

Giudica Google e i produttori in giorni, non in promesse di aggiornamento

Giga riporta che il 56,4% dei dispositivi Android attivi usa ormai Android 14 o più recente, in parte grazie a Project Treble e Project Mainline e a promesse di aggiornamento fino a sette anni. È un progresso reale e, secondo noi, la parte più sottovalutata della storia. Ma significa anche che oltre il 40% dei dispositivi gira su versioni più vecchie e che Google ha chiuso il supporto ad Android 13 a marzo 2026.

Per questo sosteniamo che il metro di giudizio debba cambiare. Gli anni di aggiornamenti promessi sono marketing. Il numero che conta sono i giorni che passano dalla patch di Google alla schermata di blocco del tuo telefono. Samsung, Xiaomi, OnePlus e Motorola, tutti indicati come marchi su cui gli utenti devono cercare le patch da soli, dovrebbero pubblicare questo dato. E Google, che controlla la piattaforma e vende l’esperienza Pixel di riferimento, dovrebbe dire chiaramente quanto ritardo ritiene accettabile.

C’è anche una lezione di progettazione. Un crash nel processo che gestisce le chiamate e la rete mobile non dovrebbe poter essere innescato da un messaggio che l’utente nemmeno vede. Come minimo, un WAP Push malformato dovrebbe essere scartato senza far cadere la telefonia. È proprio ciò a cui punta, a quanto si legge, la correzione di Google, e crediamo che sarebbe dovuto essere il comportamento predefinito fin dall’inizio.

Finché la patch non arriva, controlla a mano e tieni al sicuro i tuoi dati

Apri Impostazioni, cerca Sistema o Aggiornamento software e installa ogni patch di sicurezza disponibile. Se il tuo smartphone è fermo su Android 12 o 13, lo considereremmo un segnale d’acquisto più che una stranezza. Se un giorno entrasse in loop e ti proponesse di cancellare tutto, non scegliere «Cancella dati»: collegalo a un PC e segui la procedura di ripristino.

E chiedi al tuo produttore, pubblicamente e senza timore di essere insistente, quando arriva la patch. La vulnerabilità era un bug. Il silenzio sulla distribuzione è una scelta.