Um pesquisador de segurança publicou um exploit de prova de conceito para uma vulnerabilidade do Android corrigida recentemente, conhecida como “SMS da Morte”. Rastreada como CVE-2026-58882, a falha permite que um invasor envie uma mensagem de texto especialmente criada capaz de interromper a conectividade celular ou travar remotamente o telefone-alvo.
O ataque não exige nenhuma interação do destinatário. O Android processa a mensagem antes que ela chegue à caixa de entrada de SMS, portanto a vítima pode não receber nenhuma indicação visível do que provocou a falha. O travamento pode interromper chamadas em andamento, incluindo chamadas de emergência.
Segundo o pesquisador Mark Blah, a vulnerabilidade resulta da validação inadequada de um valor de comprimento de cabeçalho na função WapPushOverSms.decodeWapPdu do Android. Uma mensagem WAP Push malformada de oito bytes, enviada como SMS de dados para a porta 2948, pode ser interpretada como o valor assinado de 32 bits -2147483648. O Android então tenta alocar memória usando esse valor negativo, acionando uma NegativeArraySizeException no processo com.android.phone.
Como esse processo gerencia funções celulares, a falha pode desconectar chamadas e interromper o serviço móvel. O pesquisador também descobriu que o processamento ou a reentrega repetida das mensagens maliciosas pode causar novos travamentos. Nos testes, 20 mensagens deixaram alguns telefones em ciclos de reinicialização. Um dispositivo com Android 12 entrou no modo de recuperação aproximadamente a cada 90 segundos e exigiu uma redefinição de fábrica para voltar a funcionar.
Blah afirmou que o Google corrigiu o problema em suas atualizações de segurança de outubro de 2026 para as versões 14 a 17 do Android. No entanto, a vulnerabilidade não aparece no boletim de segurança de outubro do Google, e os dispositivos com Android 12 e 13 continuam expostos caso não tenham recebido a correção.
O patch do Google, intitulado “Fix remote DoS in decodeWapPdu”, captura as exceções geradas durante o processamento de mensagens malformadas. Ele também remove as mensagens maliciosas do banco de dados de SMS para impedir travamentos repetidos.
Um colaborador do GitHub identificou um método para remover as mensagens por meio do Android Debug Bridge, embora essa abordagem exija um computador e conhecimentos técnicos mais avançados. A prova de conceito recém-lançada pode enviar as mensagens maliciosas a partir de outro dispositivo Android.
As atualizações de segurança do Android geralmente são instaladas automaticamente nos telefones compatíveis, mas a distribuição depende do fabricante do dispositivo e da operadora, e pode ser necessário reiniciar o aparelho para concluir a instalação. Os usuários são aconselhados a instalar as atualizações de segurança mais recentes disponíveis, especialmente agora que um exploit funcional foi publicado.
Fontes: BleepingComputer.