Falha “SMS da morte” no Android trava telefones e derruba chamadas de emergência

Uma vulnerabilidade do Android recém-revelada permite que invasores travem o telefone da vítima e derrubem chamadas em andamento, incluindo chamadas para serviços de emergência, com uma única mensagem de texto especialmente criada. A falha, registrada como CVE-2026-58882 e apelidada de “SMS da morte”, não exige nenhuma interação da vítima: a mensagem maliciosa causa o dano antes mesmo de chegar à caixa de entrada, conforme relatado pelo BleepingComputer.

O pesquisador de segurança Mark Blaszczyk descobriu o bug no componente WapPushOverSms do Android, responsável por processar mensagens WAP Push enviadas pela rede celular. O código lê o valor de comprimento do cabeçalho da mensagem e o converte sem validá-lo. Uma sequência de cinco bytes pode forçar essa conversão a produzir um número negativo, o que dispara uma exceção NegativeArraySizeException ao tentar alocar memória. Essa exceção trava o com.android.phone, o processo do sistema responsável pelas chamadas e pela telefonia. Blaszczyk relatou uma taxa de reprodução de 100% em dispositivos de teste Google Pixel e Samsung Galaxy.

O que torna esse ataque perigoso é sua total invisibilidade. A mensagem maliciosa permanece na fila de mensagens pendentes do Android, não na caixa de entrada visível, então a vítima não vê nenhuma notificação, número do remetente ou causa evidente da falha. A telefonia normalmente reinicia em um a dois segundos, mas as operadoras podem reenviar uma mensagem não confirmada, repetindo o ciclo de travamento. Segundo Blaszczyk, cerca de 20 mensagens maliciosas podem deixar um dispositivo praticamente inutilizável por um período prolongado, já que cada tentativa de reinicialização relê a mesma entrada corrompida na fila.

Blaszczyk reportou a vulnerabilidade ao Google de forma privada em 5 de maio de 2026, e o Google confirmou uma correção técnica em 15 de junho de 2026. Em vez de adotar a proposta do pesquisador de validar diretamente o comprimento do cabeçalho, o Google envolveu a rotina de decodificação em um tratamento de exceções mais amplo que captura a falha e remove a mensagem malformada da fila. Essa correção foi incluída na atualização de segurança de outubro de 2026 para Android 14 a 17, mas o Android 12 e 13, que ainda não chegaram ao fim do suporte, ficaram de fora da atualização e continuam expostos. O CVE-2026-58882 também não constava no boletim público de outubro do Google.

A lacuna não é pequena. Segundo os dados mais recentes do StatCounter sobre participação de versões, Android 12 e 13 juntos respondem por cerca de um quarto de todos os dispositivos Android ativos no mundo, o que coloca a população vulnerável na casa das centenas de milhões. O GrapheneOS, a versão do Android voltada para privacidade, informou que sua correção será incluída no boletim de segurança de novembro. Donos de dispositivos sem correção não têm defesa de software até que o fabricante ou a operadora lance a atualização; recuperar um telefone preso no ciclo de falhas exige esperar o ciclo terminar ou usar o Android Debug Bridge para remover manualmente a mensagem maliciosa, um passo fora do alcance da maioria dos usuários.

Para operadoras e administradores de dispositivos corporativos, a falha é um lembrete de que o WAP Push, um mecanismo de entrega de SMS de décadas atrás ainda usado para provisionamento e mensagens de operadoras, continua sendo uma superfície de ataque ativa em telefones modernos. Até que as correções sejam universais, quem usa versões mais antigas do Android dependerá da filtragem no nível da operadora, em vez de proteção no próprio dispositivo — uma lacuna que invasores podem explorar em massa contra telefones que nunca receberão uma atualização.