Uma vulnerabilidade crítica do Android, identificada como CVE-2026-58882, pode permitir que um invasor trave remotamente um celular ao enviar uma mensagem SMS especialmente elaborada. A exploração não exige nenhuma interação do destinatário, incluindo abrir a mensagem.
O pesquisador de segurança Mark Blah descreveu o problema como uma vulnerabilidade de negação de serviço sem necessidade de interação e deu a ela o apelido de “SMS da Morte”. A falha envolve a validação inadequada de um valor de comprimento de cabeçalho na função WapPushOverSms.decodeWapPdu do Android. Uma mensagem WAP Push malformada de oito bytes enviada à porta 2948 pode fazer o Android processar um valor negativo de alocação de memória, acionando um erro que trava o processo com.android.phone.
Como esse processo gerencia as funções de telefonia celular, um dispositivo afetado pode perder a conectividade móvel e interromper chamadas. A vulnerabilidade também pode afetar a conectividade de emergência. O Android processa essas mensagens antes que elas cheguem à caixa de entrada, portanto, as vítimas podem não receber nenhuma notificação ou indicação de que um SMS causou a interrupção.
As tentativas repetidas de entrega feitas por algumas operadoras, junto com os esforços contínuos do Android para processar mensagens armazenadas no dispositivo, podem prolongar o problema. Blah descobriu que o envio de 20 ou mais mensagens maliciosas poderia forçar um dispositivo a entrar em um ciclo de reinicialização. No Android 12, o celular poderia entrar repetidamente no modo de recuperação, potencialmente deixando a restauração de fábrica como o único recurso prático.
O Google identificou inicialmente o problema em várias versões do Android e corrigiu as versões compatíveis do Android 14 ao Android 17. A correção, incluída nas atualizações de segurança do Android de outubro de 2026, captura as exceções geradas durante o processamento de mensagens malformadas e remove essas mensagens do banco de dados de SMS para evitar travamentos repetidos.
No entanto, os dispositivos que chegaram ao fim de sua vida útil não receberão a correção e permanecerão permanentemente expostos. Os fabricantes de Android também distribuem atualizações em cronogramas diferentes, portanto, os usuários devem instalar as atualizações de segurança disponíveis assim que possível.
Foi divulgada uma prova de conceito da vulnerabilidade. Existe um método para remover a mensagem maliciosa usando o Android Debug Bridge, mas ele exige conhecimento técnico e a conexão do dispositivo a um computador.
Fontes: TechRadar.