“Se non apro il messaggio, non succede niente.” Di solito è vero, ed è il consiglio giusto per gli SMS truffa. Questa volta no: il messaggio non arriva nemmeno nella posta in arrivo. Il telefono lo legge da solo, in automatico, e lì si inceppa.
Cos’è l’SMS of Death?
È il nome che il ricercatore Mark B. ha dato a un difetto di Android: un SMS di un tipo particolare, invisibile, che fa bloccare il servizio telefono. Non è un SMS normale. È un «messaggio di servizio», di quelli che gli operatori usano per mandare impostazioni al telefono, e che il telefono elabora senza mostrarli.
Il ricercatore ha costruito un messaggio con un numero sbagliato nell’intestazione. Android lo legge, il calcolo va fuori scala e il servizio di sistema che gestisce chiamate e rete si chiude. Riparte da solo dopo un paio di secondi. Ma se arriva un altro messaggio, si chiude di nuovo.
Un singolo SMS WAP Push malformato fa andare in crash com.android.phone e fa cadere le chiamate attive, comprese quelle d’emergenza, senza nessuna azione della vittima. Il messaggio non compare nell’app Messaggi e il numero del mittente non si vede.
Il difetto ha un codice di catalogo, CVE-2026-58882: è la sigla con cui lo trovi nelle notizie. Google lo classifica come critico.
Possibile negazione del servizio da remoto, senza privilegi aggiuntivi e senza interazione dell’utente. Versioni indicate: Android 14, 15, 16 e 17.
Cosa può succedere al mio telefono?
Le chiamate cadono e il telefono resta senza rete per qualche istante, ogni volta che arriva uno di questi messaggi. Secondo le prove del ricercatore:
- basta il tuo numero di telefono: non devi toccare, aprire o installare niente;
- non vedi nulla: nessun messaggio, nessun numero, nessuna notifica;
- cade la chiamata in corso, anche se stai chiamando il 112, il 144 (ambulanza in Svizzera) o il 118;
- l’operatore riprova a consegnare il messaggio, quindi il blocco si ripete. Nelle sue prove un solo messaggio ha causato interruzioni a intermittenza fino a una settimana, e una ventina di messaggi rendevano il telefono inutilizzabile a lungo;
- il messaggio resta in coda nel telefono e viene riprovato a ogni accensione. Il telefono può allora riavviarsi da solo, in un caso documentato ogni minuto e mezzo circa, fino alla schermata di ripristino («recovery»).
Il ricercatore dice di aver riprodotto il problema su Pixel e su vari Samsung Galaxy, sempre con successo. Google lo classifica come un blocco del servizio: non risulta che serva a rubare dati o a prendere il controllo del telefono. Il danno è il blocco. Ma un telefono che non chiama è un problema serio per chi conta proprio su quello.
Mi devo preoccupare?
Non serve il panico, serve controllare l’aggiornamento. Ad oggi non risultano attacchi reali con questo messaggio: il bollettino di Google non lo indica come sfruttato. C’è però una cosa che rende il controllo urgente: il ricercatore ha pubblicato il codice di prova, cioè il programma che costruisce e invia il messaggio. Questo rende più facile per altri usarlo.
Il ricercatore dice di averlo segnalato a Google il 5 maggio 2026. La correzione è stata scritta il 15 giugno e ora è nel codice pubblico di Android: invece di bloccarsi, il telefono scarta il messaggio difettoso e lo cancella dalla coda.
Android Open Source Project, correzione «Fix remote DoS in decodeWapPdu» (in inglese)Come controllo la versione di Android e la data di sicurezza?
Ti servono due informazioni: il numero di Android e la data dell’aggiornamento di sicurezza. I nomi dei menu cambiano da marca a marca, ma il percorso è simile:
- Apri Impostazioni (l’icona a forma di ingranaggio).
- Scorri fino in fondo e tocca Info sul telefono (a volte «Informazioni sul dispositivo» o «Sistema»).
- Cerca Versione Android (su alcuni telefoni sta dentro «Informazioni software»).
- Nella stessa zona cerca Aggiornamento della sicurezza Android o Livello patch di sicurezza: è una data, per esempio «1 novembre 2026».
Se non trovi le voci, scrivi «sicurezza» o «patch» nella barra di ricerca in cima alle Impostazioni. Attento a non confondere la data giusta con «Aggiornamento di sistema Google Play»: è un’altra cosa e non contiene questa correzione.
| Se leggi | Cosa vuol dire | Cosa fai |
|---|---|---|
| Android 14, 15, 16 o 17 con data 1 novembre 2026 o successiva | A posto secondo Google | Tieni attivi gli aggiornamenti automatici |
| Android 14, 15, 16 o 17 con data ottobre 2026 | Forse a posto: lo dice il ricercatore, Google non lo conferma (vedi sotto) | Installa l’aggiornamento di novembre appena arriva |
| Android 14, 15, 16 o 17 con data più vecchia | Da aggiornare | Aggiorna adesso |
| Android 12 o 13 | Nessuna correzione in arrivo | Leggi la sezione sui telefoni vecchi |
Per aggiornare: Impostazioni → Aggiornamento software (o «Sistema» → «Aggiornamento di sistema»), poi «Scarica e installa». Tieni il telefono in carica e sul Wi-Fi. Samsung, Xiaomi e gli altri produttori mandano gli aggiornamenti in giorni diversi: se oggi non trovi niente, riprova fra qualche giorno.
CVE-2026-58882 è nella sezione Framework del livello di patch 2026-11-01: negazione del servizio, gravità critica, versioni Android aggiornate 14, 15, 16, 16-qpr2 e 17.
Il mio telefono ha Android 12 o 13: cosa faccio?
Per Android 12 e 13 Google non pubblica la correzione: il telefono resta esposto. Il bollettino di Google indica solo le versioni ancora seguite, dalla 14 in su. Il blocco è stato documentato anche su Android 12, con il ciclo di riavvii. Il ricercatore scrive che 12 e 13 contengono lo stesso codice difettoso e non ricevono la correzione.
Se il tuo telefono non può passare ad Android 14 (controlla in Aggiornamento software: se non propone niente da mesi, è fermo), metti in conto di sostituirlo. Non serve l’ultimo modello: basta un telefono che riceve ancora aggiornamenti. Prima di comprarlo, chiedi al negozio fino a quando il produttore promette gli aggiornamenti di sicurezza.
Nel frattempo, se il telefono è l’unico modo per chiamare aiuto:
- tieni in casa un telefono fisso o un secondo telefono aggiornato, carico e a portata di mano;
- se vivi da solo o da sola, oppure se il telefono vecchio è di un tuo familiare che vive da solo, questo è il caso in cui conviene cambiarlo per primo;
- se hai un sistema di telesoccorso (il pulsante da portare al collo), chiedi a chi te lo fornisce se chiama da un apparecchio suo o passa dal telefono.
Il telefono si riavvia di continuo: cosa faccio?
Non scegliere il ripristino dei dati («Wipe data» o «Factory data reset») senza pensarci: cancella tutto quello che c’è sul telefono. Foto, chat, contatti e app che non hai salvato altrove si perdono. Il ripristino toglie il messaggio difettoso, ma a quel prezzo.
Se il telefono si riavvia da solo ogni minuto o due e finisce su una schermata con scritte in inglese come «Try again» e «Factory data reset»:
- Se la schermata propone «Try again» (riprova), scegli quella e non il ripristino. Il telefono ripartirà e potrebbe bloccarsi di nuovo, ma non perdi niente.
- Per telefonare subito, metti la scheda SIM in un altro telefono: un iPhone, oppure un Android 14 o più recente con data di sicurezza 1 novembre 2026 o successiva. Non usare un altro telefono vecchio: l’operatore può rimandargli lo stesso messaggio e si bloccherebbe anche lui. Togliere la SIM non sblocca il telefono che si riavvia. Se hai una eSIM (senza scheda), chiedi all’operatore di trasferirla.
- Porta il telefono in un negozio di telefonia, da un tecnico o dal tuo operatore, e spiega che si riavvia di continuo dopo un messaggio. Puoi mostrare loro questo articolo.
Esiste una procedura per togliere solo il messaggio difettoso senza cancellare il resto. Si fa con un computer e con uno strumento da tecnico che si chiama ADB, nei pochi secondi in cui il telefono è acceso fra un riavvio e l’altro. Non è una cosa da fare da soli: è una possibilità da indicare al tecnico, che trova i passi nella pagina del ricercatore.
Procedura di recupero dal ciclo di riavvii, segnalata su Android 12 (in inglese, per tecnici)Se pensi che qualcuno ti stia mandando apposta questi messaggi (il telefono si blocca di nuovo dopo averlo sistemato), segnalalo. In Svizzera all’Ufficio federale della cibersicurezza (UFCS) con il modulo online su report.ncsc.admin.ch: si compila anche dal telefono e non servono termini tecnici. Se ti senti preso di mira o minacciato, vai dalla polizia cantonale. In Italia alla Polizia Postale, anche online.
E l’iPhone? Non è immune
Questo difetto riguarda solo Android, ma l’iPhone ha avuto casi simili, e alcuni più gravi. Nel 2021 e nel 2023 il Citizen Lab, un laboratorio dell’Università di Toronto, ha scoperto due attacchi che entravano nell’iPhone con un semplice messaggio iMessage, senza che la persona toccasse niente, e installavano un programma spia. Erano attacchi mirati contro attivisti e organizzazioni, non di massa, e Apple li ha corretti con un aggiornamento. Anche a settembre 2026 Apple ha corretto una falla già usata negli attacchi: ne abbiamo scritto in L’iPhone è inviolabile? No.
La regola è la stessa per tutti i telefoni: non conta la marca, conta l’aggiornamento. Un iPhone fermo a una versione vecchia è esposto come un Android fermo ad Android 12.
Citizen Lab, FORCEDENTRY: attacco via iMessage senza clic (in inglese) Citizen Lab, BLASTPASS: attacco via iMessage senza clic (in inglese)Attento ai finti avvisi
Dopo notizie come questa arrivano SMS ed email che ti chiedono di installare un «aggiornamento urgente» da un link. Sono truffe. Gli aggiornamenti veri arrivano solo da Impostazioni → Aggiornamento software. È il Metodo 3V del libro «Sicurezza informatica per professionisti» applicato al telefono: verifica tu la data nelle Impostazioni, valida che l’aggiornamento venga da lì e non da un messaggio, e non farti mettere fretta da chi ti scrive.
Domande frequenti
Posso accorgermi se mi è arrivato l'SMS of Death?
Quasi mai, ed è questo il punto. Il messaggio non compare nell'app Messaggi e il numero del mittente non si vede. Gli unici segnali sono indiretti: chiamate che cadono senza motivo, qualche secondo senza rete, o un telefono che si riavvia da solo più volte di seguito. Un singolo calo di rete da solo non vuol dire niente: capita anche per altre ragioni.
Ho un iPhone: devo fare qualcosa?
Per questo caso no: il difetto sta nel codice di Android che gestisce gli SMS. Ma l'iPhone non è immune: nel 2021 e nel 2023 due attacchi entravano con un solo messaggio iMessage, senza clic. Tieni l'iPhone aggiornato, perché anche Apple corregge falle quasi ogni mese. Se in famiglia ci sono anche telefoni Android, controlla quelli.
Posso bloccare questi messaggi dalle impostazioni o con un'app?
Non abbiamo trovato un'impostazione che li blocchi: il messaggio viene elaborato dal sistema prima di qualsiasi app, e non è un SMS che puoi bloccare come un numero molesto. L'unica difesa indicata dalle fonti è l'aggiornamento di sicurezza. Diffida delle app che promettono di proteggerti da questo difetto.
Il mio telefono non ha ancora l'aggiornamento di novembre: lo spengo?
No, spegnerlo non serve e ti toglie il telefono quando ti serve. Il codice di prova è pubblico, ma non risultano attacchi reali. Controlla ogni qualche giorno in Aggiornamento software e installa appena arriva. Se il telefono è fermo da mesi senza aggiornamenti, chiedi al negozio o al produttore se ne riceverà ancora.
Perché aggiornare conti anche quando non succede niente, lo spiego in Aggiornare, o non aggiornare, questo è il dilemma. La correzione c’è già, e chi vuole usare il codice di prova punta proprio sui telefoni che restano indietro. Prendi adesso il tuo Android, apri Impostazioni → Info sul telefono e guarda la data. Poi fai lo stesso con il telefono di chi in famiglia non lo farebbe mai da solo.
