Um pesquisador de segurança publicou um exploit de prova de conceito para uma vulnerabilidade recentemente corrigida no Android. Apelidada de “SMS da Morte” e identificada como CVE-2026-58882, a falha permite que invasores interrompam remotamente o serviço de telefonia móvel ou façam celulares travarem ao enviar uma mensagem especialmente preparada.
A falha de negação de serviço não exige interação da vítima e pode interromper chamadas em andamento, inclusive para serviços de emergência. O problema é agravado pelo fato de o Android processar a mensagem antes que ela chegue à caixa de entrada de SMS. Assim, a vítima não recebe nenhum aviso visível sobre a causa do travamento.
Segundo o pesquisador Mark Blah, o Google teria corrigido a vulnerabilidade nas atualizações de segurança do Android de outubro de 2026, destinadas às versões 14 a 17. No entanto, a falha não aparece no boletim de segurança de outubro da empresa. Dispositivos mais antigos, com Android 12 e 13, continuam vulneráveis porque não receberam a correção.
Blah publicou uma análise técnica que aponta a causa do problema: a validação inadequada de um valor que indica o comprimento do cabeçalho na função `WapPushOverSms.decodeWapPdu` do Android.
Para explorar a falha, um invasor pode enviar aos celulares visados uma mensagem WAP Push malformada de oito bytes. Quando o valor que indica o comprimento é convertido em um número inteiro de 32 bits com sinal, sem uma verificação de limites, o resultado é -2.147.483.648.
Ao tentar alocar memória usando esse valor negativo, o Android gera uma exceção `NegativeArraySizeException`, que trava o processo `com.android.phone`.
Como esse processo gerencia as funções de telefonia móvel, o travamento interrompe a conectividade celular e desconecta chamadas em andamento, inclusive para serviços de emergência.
O pesquisador afirma que o ataque também pode provocar travamentos repetidos quando as operadoras tentam reenviar as mensagens maliciosas ou quando o Android tenta processar mensagens já armazenadas no celular.
Durante os testes, o pesquisador constatou que o envio de 20 mensagens maliciosas podia deixar os celulares presos em ciclos de reinicialização. Em um dispositivo com Android 12, o celular reiniciava no modo de recuperação aproximadamente a cada 90 segundos. Para restaurá-lo, foi necessário fazer uma redefinição de fábrica.
Um colaborador do GitHub chamado Sakis descobriu uma forma de remover as mensagens maliciosas usando o Android Debug Bridge (ADB). O procedimento, porém, exige conhecimentos técnicos avançados e acesso a um computador.
O pesquisador também publicou um exploit de prova de conceito capaz de enviar as mensagens maliciosas a partir de outro dispositivo Android.
A correção do Google, intitulada “Corrige a negação remota de serviço em `decodeWapPdu`”, impede os travamentos ao capturar as exceções geradas durante o processamento das mensagens malformadas. A atualização também exclui as mensagens maliciosas do banco de dados de SMS, evitando que provoquem novos travamentos.
As atualizações de segurança do Android geralmente são instaladas automaticamente nos dispositivos compatíveis. A disponibilidade, porém, depende do fabricante do aparelho e da operadora. Também pode ser necessário reiniciar o celular para concluir a instalação.
Com a divulgação de um exploit de prova de conceito funcional, usuários do Android devem instalar as atualizações de segurança mais recentes para proteger seus dispositivos.
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...