L’SMS che blocca il telefono Android, chiamato “SMS della morte”, sfrutta un difetto del sistema che gestisce le chiamate: un messaggio speciale, invisibile, fa crollare per qualche secondo la parte del telefono che si collega alla rete e può far cadere le telefonate in corso. Google lo ha corretto e lo ha inserito nel bollettino di sicurezza di novembre 2026: per essere protetti basta che il telefono abbia il livello di patch di sicurezza del 1° novembre 2026 o successivo. Ecco come controllarlo su Samsung e Pixel, cosa fare con un telefono vecchio e come comportarsi se il telefono si blocca.
Ultimo aggiornamento: novembre 2026. Fonti: Android Security Bulletin di novembre 2026 (source.android.com), scheda CVE-2026-58882 del NIST, bollettino Samsung Security Maintenance Release di novembre 2026, codice sorgente Android (AOSP), sito del ricercatore che ha scoperto il difetto, guide di assistenza Google in italiano.
Il cosiddetto SMS della morte è un messaggio di servizio costruito apposta che non compare nell’app Messaggi ma manda in crash il processo del telefono che gestisce le chiamate, con la linea che cade per qualche secondo a ogni messaggio. Il difetto ha la sigla CVE-2026-58882 e Google lo ha classificato come critico nel bollettino di sicurezza di novembre 2026, con la correzione per Android 14, 15, 16 e 17. Per controllare se sei protetto apri Impostazioni e cerca la voce “Aggiornamento della sicurezza Android” (su Samsung “Livello patch di sicurezza Android”): deve indicare 1 novembre 2026 o una data successiva. Il difetto non ruba dati né password, ma su un telefono che non riceve più aggiornamenti resta aperto.
Indice
- Cos’è l’SMS della morte e cosa fa
- Quali telefoni sono a rischio
- Come controllare il livello di patch
- Come installare l’aggiornamento
- Se il telefono è vecchio e non si aggiorna più
- Se il telefono si blocca o si riavvia da solo
- Bloccare i numeri e il filtro spam servono?
- Domande frequenti
Cos’è l’SMS della morte e cosa fa
Non è un SMS da leggere nell’app Messaggi ma un “WAP Push”, un messaggio di servizio che gli operatori usano per inviare configurazioni e che Android elabora in automatico, senza mostrarlo. Il ricercatore che lo ha scoperto, Mark B., spiega sul suo sito smsofdeath.com che basta inserire nel messaggio un valore di lunghezza sbagliato perché il sistema vada in errore e chiuda di colpo il programma che gestisce la parte telefonica (il processo che si chiama com.android.phone).
Chi lo riceve non vede nessuna notifica, nessun messaggio, nessun mittente. Per uno o due secondi il telefono perde il segnale e, se in quel momento c’è una telefonata in corso, la chiamata cade: vale anche per le chiamate di emergenza, ed è il motivo per cui Google ha dato al difetto il livello “critico”. Nelle prove del ricercatore l’operatore rimanda il messaggio non confermato e il disturbo si ripete; con una ventina di messaggi il telefono resta inutilizzabile a lungo e, nei casi peggiori, entra in un ciclo di riavvii.
Non installa programmi, non legge le chat, non ruba password o codici della banca. La scheda ufficiale del NIST, l’ente americano che cataloga le falle informatiche, la descrive come un difetto che porta a un “denial of service” da remoto, cioè all’interruzione del servizio, senza bisogno che l’utente faccia qualcosa. Al 9 novembre il bollettino di Google non segnala attacchi in corso, ma il ricercatore ha reso pubblico un programma di prova, quindi conviene aggiornare senza rimandare.
Quali telefoni sono a rischio
Il difetto sta in Android stesso, quindi riguarda tutte le marche. Nel bollettino di sicurezza Android di novembre 2026, pubblicato da Google il 2 novembre, il difetto CVE-2026-58882 compare nella sezione “System” come critico, con la correzione per Android 14, 15, 16 e 17, nel livello di patch del 1° novembre 2026. Samsung lo ha incluso nel suo pacchetto di sicurezza di novembre 2026.
Secondo il ricercatore, il crash si riproduce anche su Android 12 e 13, che però sono fuori supporto e non riceveranno la patch.
| Android | Correzione | Cosa fare |
|---|---|---|
| 17, 16, 15, 14 | Sì, patch novembre 2026 | Aggiornare appena arriva |
| 13 e 12 | No | Valutare il cambio |
| 11 e precedenti | No | Senza aggiornamenti: valutare il cambio |
Come controllare il livello di patch
Il livello di patch di sicurezza è una data. Secondo la guida di Google “Controlla e aggiorna la versione di Android”, si trova aprendo Impostazioni, poi Informazioni sullo smartphone e Versione di Android: lì compaiono la versione di Android e la voce “Aggiornamento della sicurezza Android”.
Su un Samsung Galaxy il percorso è Impostazioni, poi Info sul telefono, poi Informazioni software. La riga che interessa è “Livello patch di sicurezza Android”. Samsung di solito indica il 5 del mese, per esempio “5 novembre 2026”: va bene lo stesso, perché è successivo al 1° novembre.
Su un Google Pixel si apre Impostazioni, poi Informazioni sullo smartphone, poi Versione di Android, e si legge la voce “Aggiornamento della sicurezza Android”.
Su Xiaomi, Motorola, OPPO e altri i nomi cambiano un po’: se non trovi la voce, scrivi “patch” nella barra di ricerca in cima alle Impostazioni.
Tre esempi pratici. Un Galaxy S24 che mostra “5 novembre 2026” è protetto. Un Galaxy A con “1 settembre 2026” non lo è ancora: deve aspettare o cercare l’aggiornamento. Un vecchio telefono con Android 12 e patch “1 marzo 2025” non riceverà la correzione.
Come installare l’aggiornamento
Gli aggiornamenti arrivano di solito con una notifica, ma si possono cercare a mano. Prima conviene collegarsi al Wi-Fi e avere la batteria almeno al 75%, come consiglia Google, e fare una copia dei dati: se non l’hai mai fatta, ti aiuta la nostra guida su come fare il backup del telefono.
Su Samsung: Impostazioni, Aggiornamento software, Scarica e installa. Su Pixel e sulla maggior parte degli altri Android: Impostazioni, Sistema, Aggiornamento software (o “Aggiornamenti di sistema”). Seguire le istruzioni sullo schermo; il telefono si riavvia da solo alla fine.
Se il telefono risulta aggiornato ma la data è di ottobre o prima, riprova nei giorni successivi. Google ricorda nella pagina sugli aggiornamenti dei Pixel che i rilasci arrivano in modo graduale e possono servire alcune settimane; per gli altri marchi i tempi li decidono il produttore e, a volte, l’operatore. Al 9 novembre il bollettino specifico dei Pixel per novembre non è ancora online.
Se il telefono è vecchio e non si aggiorna più
Non esiste un’app o un’impostazione che fermi questo messaggio: la correzione sta dentro Android e arriva solo con un aggiornamento del produttore.
Un telefono fermo ad Android 12 o 13 resta esposto a questo difetto e a quelli scoperti dopo. Se è un secondo telefono usato poco, il rischio pratico è limitato: serve che qualcuno conosca il numero e voglia colpirlo. Se invece è l’unico telefono di una persona anziana, dove una chiamata persa può pesare, è il momento di pensare a un modello che riceva ancora aggiornamenti. È lo stesso discorso che avevamo fatto quando WhatsApp ha smesso di funzionare sui vecchi Android.
Prima di comprare, conviene guardare quanti anni di aggiornamenti promette il produttore. Google, per esempio, garantisce 7 anni di aggiornamenti di sistema e sicurezza dal Pixel 8 in poi, contati dalla data di uscita sul Google Store negli Stati Uniti; i Pixel dal 6 al 7a ne hanno 5. Se il telefono serve a un genitore anziano, la nostra guida su come rendere semplice lo smartphone per gli anziani spiega anche come impostare il nuovo apparecchio.
Le prime notizie in italiano sull’SMS della morte parlavano di una patch di ottobre e di Android dalla versione 12 alla 16. Il ricercatore stesso scrive di una correzione già nel rilascio di ottobre, ma Google elenca ufficialmente il difetto CVE-2026-58882 solo nel bollettino di novembre 2026, con la correzione per Android 14, 15, 16 e 17. Per non sbagliare, la data da cercare nelle impostazioni è 1 novembre 2026 o successiva.
Se il telefono si blocca o si riavvia da solo
Un telefono che perde il segnale ogni tanto non ha per forza ricevuto un SMS della morte: le cause più comuni restano poca copertura, una SIM rovinata o un’app difettosa. Il segnale tipico dell’attacco è la linea che sparisce per un paio di secondi e torna, più volte di seguito.
Se succede e il telefono funziona ancora, la cosa più utile è installare subito l’aggiornamento di sicurezza, se disponibile. Secondo la descrizione del ricercatore, la correzione di Google non si limita a evitare il crash: cancella anche il messaggio che lo provoca, così non viene rielaborato a ogni accensione. Il messaggio, infatti, non si può eliminare dall’app Messaggi, perché non compare da nessuna parte.
La modalità provvisoria, che Google consiglia per i telefoni che si bloccano o si riavviano da soli, spegne le app scaricate: aiuta a escludere che la colpa sia di un’app, ma non risolve, perché il difetto sta nel sistema. Su molti telefoni si avvia tenendo premuta la voce “Spegni” nel menu di spegnimento.
Il caso peggiore è il ciclo di riavvii: il ricercatore racconta che il telefono può ripartire più volte e finire su una schermata di ripristino che propone di cancellare i dati (“Wipe data/factory reset”). Non scegliere quella voce di fretta, perché cancella foto, chat e app. Il messaggio si può togliere collegando il telefono a un computer con strumenti per sviluppatori: meglio affidarsi a un centro assistenza autorizzato o a un tecnico di fiducia.
Bloccare i numeri e il filtro spam servono?
Contro questo specifico attacco, purtroppo, no. Il messaggio viene elaborato dal sistema prima di arrivare a qualsiasi app, quindi Google Messaggi non lo vede, il filtro antispam non può fermarlo e bloccare un numero non serve, anche perché il mittente non compare.
Restano però utili contro i messaggi di truffa, molto più frequenti. In Google Messaggi, tenendo premuta una conversazione e scegliendo “Blocca” o segnalandola come spam, il mittente viene bloccato e la chat finisce nella cartella “Spam e messaggi bloccati”, come spiega la guida di Google Messaggi. Per riconoscere i messaggi falsi della banca, delle Poste o delle multe c’è la nostra guida sullo smishing, il phishing via SMS. E se il telefono te lo rubano o lo perdi, i passi da fare subito sono nella guida sul telefono Android rubato o smarrito.
Abbiamo scelto i 5 migliori smartphone per fascia di prezzo, con pro e contro di ciascuno.
Domande frequenti
Devo aprire il messaggio perché il telefono si blocchi?
No. Il messaggio non compare nell’app Messaggi e non arriva nessuna notifica: lo elabora il sistema da solo. Per questo l’unica difesa è l’aggiornamento di sicurezza.
L’SMS della morte può rubare i miei dati o i soldi dal conto?
No. Il difetto CVE-2026-58882 provoca solo l’interruzione del servizio telefonico: cadono le chiamate e il segnale sparisce per qualche secondo. Non dà accesso a foto, chat, password o app della banca.
Che data deve avere la patch di sicurezza per essere protetto?
1 novembre 2026 o successiva. Su Samsung compare spesso “5 novembre 2026”, che va bene. Una data di ottobre o precedente non garantisce la correzione secondo il bollettino ufficiale di Google.
Il mio telefono ha Android 13: riceverò la correzione?
Quasi certamente no. Google ha pubblicato la correzione per Android 14, 15, 16 e 17. Se il produttore ti ha già portato ad Android 14 o successivo, invece, arriverà con l’aggiornamento di novembre.
Riguarda anche l’iPhone?
No. Il difetto è nel codice di Android; gli iPhone usano un sistema diverso.
Mettere la modalità aereo protegge?
Mentre è attiva il telefono non riceve SMS, ma nemmeno chiamate: va bene per pochi minuti, la protezione vera è l’aggiornamento.
