SMS of Death no Android: texto malicioso pode derrubar celular sem clique

Um pesquisador de segurança publicou uma prova de conceito para uma vulnerabilidade recém-corrigida do Android, apelidada de SMS of Death e identificada como CVE-2026-58882, que permite derrubar o serviço de celular ou travar aparelhos não atualizados com o envio de uma mensagem de texto especialmente criada. O código foi divulgado depois da correção do Google nas atualizações de segurança de outubro de 2026.

O problema é uma falha de negação de serviço sem clique, ou zero-click, termo usado quando a vítima não precisa abrir nada para ser atingida. Ela pode interromper chamadas em andamento, incluindo chamadas de emergência. Como o Android processa a mensagem antes de ela chegar à caixa de entrada do SMS, a vítima não vê nenhum sinal do que causou a queda.

Onde está a falha e quem está protegido

Segundo o pesquisador de vulnerabilidades Mark Blah, o Google corrigiu a falha nas atualizações de segurança de outubro de 2026 para aparelhos com Android 14 até 17. No entanto, a falha não aparece listada no boletim de segurança de outubro do Google, e aparelhos mais antigos com Android 12 e 13 continuam vulneráveis porque não receberam a correção.

A causa está na validação incorreta de um valor de tamanho de cabeçalho na função WapPushOverSms.decodeWapPdu do Android. WAP Push é um tipo antigo de mensagem usado para enviar conteúdos e notificações pela rede de celular. Para explorar a falha, o atacante envia uma mensagem WAP Push malformada de oito bytes para o celular alvo.

Quando esse valor é convertido em um número inteiro de 32 bits com sinal sem checagem de limite, ele se transforma em -2147483648. Ao tentar reservar memória com esse valor negativo, o Android gera um erro chamado NegativeArraySizeException, que derruba o processo com.android.phone, responsável pelas funções de telefonia celular.

O que acontece com o celular atacado

Como o processo com.android.phone gerencia as funções de celular, a quebra interrompe a conectividade móvel e desconecta chamadas em andamento, incluindo chamadas para serviços de emergência. O ataque também pode causar travamentos repetidos quando a operadora tenta reenviar as mensagens maliciosas ou quando o Android tenta processar mensagens já guardadas no aparelho.

Nos testes, o pesquisador viu que o envio de 20 mensagens maliciosas podia deixar celulares presos em loops de reinicialização. Em um aparelho com Android 12, o telefone reiniciava para o modo de recuperação aproximadamente a cada 90 segundos, exigindo restauração de fábrica para voltar a funcionar.

Um colaborador do GitHub chamado Sakis descobriu uma forma de remover as mensagens maliciosas usando o Android Debug Bridge (ADB), ferramenta que liga o celular ao computador para comandos avançados. O processo, porém, exige conhecimento técnico mais avançado e acesso a um computador.

Como se proteger agora

A correção do Google, intitulada “Fix remote DoS in decodeWapPdu”, evita as quedas ao tratar as exceções geradas no processamento das mensagens malformadas. O patch também apaga as mensagens maliciosas do banco de dados de SMS para impedir novas crises repetidas.

• Instale a atualização de segurança mais recente disponível para seu modelo.
• Reinicie o aparelho após atualizar, se o sistema pedir.
• Em aparelhos com Android 12 e 13, redobre a atenção, pois não receberam a correção citada na matéria.

As atualizações de segurança do Android costumam ser instaladas automaticamente em aparelhos suportados, mas a liberação depende da fabricante e da operadora. Com uma prova de conceito funcional já publicada, que pode enviar as mensagens a partir de outro aparelho Android, instalar as atualizações mais recentes é a medida mais importante para se proteger.