Le 29 octobre 2026, le chercheur en sécurité Mark Blaszczyk a rendu publique une faille WAP Push d’Android qui peut faire planter le service téléphonique sans action du destinataire. Le code de l’Android Open Source Project (AOSP) intercepte les exceptions pendant le traitement du message et supprime celui qui a échoué, afin d’éviter des plantages en boucle. Mark Blaszczyk décrit la faille et ses tests, tandis que le commit AOSP 735d967 détaille le correctif.
Comment le SMS interrompt le service téléphonique
WAP Push est un type de SMS de données qu’Android traite automatiquement. Selon Mark Blaszczyk, un message malformé peut provoquer une exception dans le traitement de WapPushOverSms.decodeWapPdu() avant même que le SMS apparaisse dans la boîte de réception. Le processus téléphonique com.android.phone plante alors, ce qui peut couper le réseau mobile et interrompre des appels en cours, y compris des appels d’urgence.
Le chercheur situe le défaut dans le traitement d’une longueur d’en-tête : une conversion sans vérification peut produire une taille de tableau négative et déclencher une exception. Il rapporte aussi que l’opérateur peut renvoyer le message en attente, ce qui risque de relancer le plantage.
Ce que change le correctif AOSP
Le commit 735d967, écrit par Thomas Nguyen le 15 juin 2026 et enregistré le 5 août, ajoute une gestion des exceptions RuntimeException pendant le décodage WAP Push et la diffusion du SMS. Si le traitement échoue, le code supprime le suivi du message défectueux dans la base de données temporaire. Le but indiqué par le commit est d’empêcher les plantages persistants.
Versions Android et bulletin de sécurité
Mark Blaszczyk rapporte avoir reproduit le plantage sur Android 12 à 16 et situe le correctif de la mise à jour de sécurité d’octobre 2026 sur Android 14 à 17. Android 12 et 13 restent en dehors du périmètre de correctif qu’il décrit. Ces plages concernent, d’une part, les versions testées par le chercheur et, d’autre part, celles auxquelles il attribue le correctif. Son compte rendu mentionne notamment un Pixel 9 sous le micrologiciel d’avril 2026 ainsi que des appareils Samsung Galaxy et de la série A.
Google indique que le niveau de correctif Android 2026-10-01 ou ultérieur couvre les problèmes répertoriés pour ce niveau. Son bulletin de sécurité d’octobre 2026 classe CVE-2026-58865 comme un déni de service critique du Framework, mais ne relie pas cette entrée à la faille WAP Push. Le commit AOSP ne fait pas non plus ce rapprochement. Pour vérifier le périmètre rapporté, comparez le niveau de correctif de sécurité affiché sur votre appareil à la version d’octobre 2026, en gardant à l’esprit que le bulletin ne nomme pas explicitement cette faille dans son entrée CVE.
