Uma vulnerabilidade do Android divulgada recentemente, apelidada de “SMS da Morte” pelo pesquisador de segurança Mark Blah, pode interromper o serviço celular ou travar determinados telefones por meio de uma série de mensagens SMS especialmente criadas. A falha é rastreada como CVE-2026-58882 e não exige que o destinatário abra a mensagem.
O sistema Android processa a mensagem maliciosa antes que ela chegue à caixa de entrada normal. Segundo Blah, as mensagens podem permanecer na fila após uma reinicialização e ser processadas novamente sempre que o telefone é iniciado, potencialmente causando travamentos repetidos até que sejam removidas.
A falha afeta as versões 12 a 16 do Android e foi observada em vários dispositivos, incluindo telefones Pixel 9 e Samsung Galaxy. Ela pode interromper chamadas em andamento, incluindo chamadas de emergência, porque afeta o processo do Android responsável pelas funções celulares.
O ataque explora uma validação inadequada do tamanho de um cabeçalho na função WapPushOverSms.decodeWapPdu do Android. Uma mensagem WAP Push malformada pode produzir um valor negativo que o sistema tenta usar para alocação de memória, acionando uma NegativeArraySizeException e travando o processo com.android.phone. O relatório afirma que 20 mensagens maliciosas são suficientes para provocar o travamento.
O Google aparentemente corrigiu o problema na atualização de segurança de outubro de 2026 do Android para as versões 14 a 17. A correção captura as exceções causadas pelas mensagens e as remove do banco de dados de SMS para impedir que sejam processadas repetidamente. A atualização aparentemente não está disponível para dispositivos que ainda executam o Android 12 ou 13.
A Tom’s Guide entrou em contato com o Google depois que o relatório afirmou que o problema havia sido considerado uma “não prioridade”, mas o Google não havia respondido às suas perguntas até o momento da publicação.
As atualizações de segurança do Android geralmente são instaladas automaticamente em dispositivos compatíveis, embora a disponibilidade dependa do fabricante do telefone e da operadora de rede. Os usuários devem verificar se a atualização de outubro está instalada e reiniciar o telefone, caso seja necessário, para concluir o processo. O relatório indica que o ataque não parece estar amplamente disseminado, mas uma prova de conceito funcional foi divulgada, tornando importante manter os dispositivos compatíveis atualizados.
Fontes: Tom's Guide.