Secondo Mark B, l’aggiornamento di sicurezza Android di ottobre 2026 corregge una vulnerabilità della telefonia per Android 14–17, a partire dal livello patch di ottobre 2026. Il ricercatore descrive un messaggio WAP Push elaborato senza che il destinatario lo apra o interagisca con il telefono. Il resoconto tecnico di Mark B attribuisce alla falla un possibile arresto del processo che gestisce le chiamate.
Che cosa fa il messaggio WAP Push
Non è un normale SMS visibile nella casella dei messaggi: secondo Mark B, il messaggio dati WAP Push viene elaborato automaticamente. Il ricercatore colloca il problema nel componente WapPushOverSms, durante l’elaborazione di decodeWapPdu(): una conversione non controllata della lunghezza dell’intestazione può produrre una dimensione negativa per un array e un’eccezione non gestita. Il processo coinvolto è com.android.phone.
Il crash può interrompere il servizio telefonico e far cadere chiamate attive, comprese quelle di emergenza. Mark B descrive un’interruzione breve mentre il processo si riavvia.
Quando il crash si ripete
Un arresto del processo di telefonia non significa di per sé che ogni funzione del telefono smetta di funzionare. Il problema può però ripetersi se l’operatore ritenta la consegna di un messaggio non confermato: Mark B riferisce che i messaggi in coda possono essere elaborati di nuovo all’avvio e innescare altri crash, fino a un ciclo persistente.
Nei test che descrive, Mark B riferisce interruzioni intermittenti del servizio per un massimo di una settimana dopo un singolo messaggio; circa 20 messaggi hanno reso un dispositivo inutilizzabile per un periodo prolungato. Il ricercatore documenta anche un recupero tramite ADB, che può rimuovere i messaggi in coda senza ripristinare i dati di fabbrica. Richiede un computer e un intervento tecnico.
Le versioni riprodotte, interessate e coperte dalla patch
Mark B indica tre ambiti diversi per la riproduzione, le versioni interessate e la correzione:
| Ambito | Versioni o livello patch indicati |
| Versioni su cui Mark B riferisce di aver riprodotto la falla | Android 12–16 |
| Versioni che Mark B indica come interessate | Android 12–17 |
| Versioni coperte dalla correzione di ottobre 2026 | Android 14–17, con livello patch di ottobre 2026 o successivo |
Nell’account del ricercatore, Android 12 e 13 eseguono il codice vulnerabile ma non rientrano nell’aggiornamento di ottobre descritto. Per il perimetro della protezione indicato da Mark B conta quindi anche il livello della patch di sicurezza, non soltanto la versione principale di Android.
