Uma mensagem que nunca aparece na caixa de entrada pode interromper chamadas e provocar falhas repetidas em smartphones Android. A vulnerabilidade, conhecida como “SMS of Death”, não exige qualquer interação da vítima.
Identificada como CVE-2026-58882, a falha foi divulgada pelo investigador Mark Blaszczyk. O problema afeta o processamento de mensagens WAP Push e pode terminar chamadas em curso, incluindo chamadas para serviços de emergência.
Existe uma correção no código do Android, mas isso não significa que todos os equipamentos estejam protegidos. A disponibilidade depende da integração do patch nas atualizações distribuídas para cada modelo.
A falha ocorre antes de veres qualquer mensagem
O ataque explora o tratamento de mensagens de dados recebidas em segundo plano. Ao contrário de um SMS normal, a mensagem problemática não surge numa conversa nem apresenta uma notificação com o número de quem a enviou.
Segundo o investigador, determinados valores no cabeçalho provocam um erro não tratado no processo responsável pela telefonia. O serviço termina e volta a arrancar, interrompendo temporariamente a ligação à rede móvel.
Trata-se de uma falha de negação de serviço: o efeito demonstrado é impedir o funcionamento normal do equipamento. A investigação apresentada não demonstra acesso às fotografias, palavras-passe ou outros dados guardados no telemóvel.
Esta diferença ajuda a perceber o risco. Mesmo sem roubar informação, um ataque que derruba o serviço de chamadas pode impedir uma utilização essencial do dispositivo.
O reenvio pode prolongar as interrupções
O problema pode persistir porque as mensagens que não recebem confirmação de entrega voltam a ser enviadas pela operadora. Nos testes descritos pelo investigador, uma única mensagem provocou interrupções intermitentes durante vários dias.
Também foram observados ciclos de falhas e reinícios associados a mensagens pendentes que o sistema tenta processar novamente após o arranque. O trabalho foi reproduzido em equipamentos Pixel e Samsung Galaxy.
A recuperação documentada pode exigir um computador e ferramentas de diagnóstico para limpar a fila problemática. Não é, portanto, uma situação que se resolva necessariamente apagando uma conversa na aplicação de mensagens, onde o SMS nem sequer aparece.
A correção remove a mensagem que provoca o erro
O registo público do Android contém uma alteração intitulada “Fix remote DoS in decodeWapPdu”, com autoria datada de 15 de junho de 2026. A descrição identifica expressamente a prevenção de ciclos persistentes de falhas.
A solução passa por tratar os erros durante a descodificação WAP Push e remover o registo da mensagem problemática da base de dados. Assim, o sistema deixa de tentar processar repetidamente o mesmo conteúdo. O registo também documenta a introdução de testes para os componentes alterados.
O investigador associa a distribuição da correção às atualizações de outubro para Android 14 a 17. Os equipamentos mais antigos, fora do respetivo suporte, continuam a exigir atenção. Entretanto, o GrapheneOS também identifica esta CVE entre as vulnerabilidades corrigidas nas suas versões de segurança.
Se utilizas um destes smartphones, a informação relevante é a atualização de segurança efetivamente disponibilizada pelo fabricante para o teu modelo, incluindo a confirmação de que integra esta correção.
Outros artigos interessantes:
