Publicado exploit para falha do Android que desliga o telemóvel da rede com um SMS
Um investigador de segurança publicou um exploit funcional para uma falha do Android que permite a qualquer pessoa que saiba o seu número desligar o telemóvel da rede móvel com um único SMS oculto. A vulnerabilidade, a que o investigador chamou «SMS of Death» e que o BleepingComputer identifica como CVE-2026-58882, faz falhar o processo do sistema que gere as chamadas e os dados móveis, e pode cortar uma chamada de emergência em curso. A Google corrigiu-a na atualização de segurança do Android de outubro de 2026 para o Android 14 a 17. Os telemóveis com Android 12 e 13 não recebem essa correção, noticiou o BleepingComputer a 31 de outubro.
Como uma mensagem deixa o telemóvel sem rede
O ataque usa o WAP Push, um formato antigo de SMS com que os operadores enviam definições e mensagens de serviço para os telemóveis. Segundo a análise técnica do investigador Mark B, o Android lê um valor de comprimento no cabeçalho da mensagem e transforma-o num número negativo sem o verificar. Quando o sistema tenta depois reservar memória desse tamanho, o processo com.android.phone falha. Esse processo gere as chamadas, os SMS e os dados móveis, por isso o telemóvel perde a rede durante um ou dois segundos e a chamada em curso cai.
A vítima não precisa de tocar nem de abrir nada. A mensagem chega como SMS de dados, nunca aparece na aplicação de mensagens e o número do remetente não é mostrado. Segundo o investigador, a falha foi reproduzida no Android 12 a 16, com uma taxa de sucesso de 100% num Pixel 9 com o firmware de abril de 2026 e em vários modelos Samsung Galaxy.
Porque um único SMS pode provocar reinícios em ciclo
Se o telemóvel não confirmar a entrega, o operador volta a enviar a mensagem e o telemóvel volta a falhar. Além disso, a mensagem fica na fila de SMS recebidos e é processada em cada arranque. Nos testes, uma única mensagem provocou falhas intermitentes de rede durante até uma semana. Cerca de 20 mensagens deixaram um aparelho inutilizável durante muito tempo. Um telemóvel com Android 12 reiniciava em modo de recuperação a cada 90 segundos, aproximadamente, e aí o Android propõe apagar todos os dados.
Um utilizador do GitHub encontrou forma de sair do ciclo sem reposição de fábrica: apagar as mensagens maliciosas através do ADB, a ferramenta de depuração do Android, no curto intervalo após cada arranque. São precisos um computador, a depuração USB ativada previamente e alguns conhecimentos técnicos, por isso a maioria das pessoas com o telemóvel preso neste ciclo acabaria por apagá-lo.
Uma correção discreta que deixa de fora os telemóveis antigos
O investigador diz ter comunicado a falha à Google a 5 de maio de 2026. Uma correção intitulada «Fix remote DoS in decodeWapPdu» entrou no código em junho e chegou com a atualização de segurança de outubro de 2026 para o Android 14 a 17. Não acrescenta a verificação de comprimento proposta pelo investigador: interceta a falha e apaga a mensagem que a provoca, para que não volte a disparar no arranque seguinte. A vulnerabilidade não consta do boletim de segurança de outubro da Google. O Android 12 e 13 usam o mesmo código, mas já não recebem atualizações.
A aplicação de prova de conceito foi publicada no GitHub a 29 de outubro. Envia a mensagem de um telemóvel Android para outro, pelo que o ataque já não exige equipamento especial.
Como verificar o seu telemóvel
Abra as definições e procure a data da atualização de segurança. Nos Pixel está em Definições, Acerca do telemóvel, Versão do Android, «Atualização de segurança do Android». Nos Samsung está em Definições, Acerca do telefone, Informações do software, «Nível de patch de segurança do Android». Uma data de 1 de outubro de 2026 ou posterior significa que a correção está instalada, desde que o telemóvel tenha o Android 14 ou mais recente. Se houver uma atualização pendente, instale-a e reinicie o telemóvel. O calendário depende do fabricante e do operador, por isso alguns telemóveis com Android 14 a 17 vão recebê-la mais tarde do que os Pixel.
Se o seu telemóvel tem Android 12 ou 13, não vai chegar nenhuma correção oficial. Uma VPN não ajuda aqui: o ataque chega pela rede móvel, não pela internet. Para quem depende de um telemóvel destes para chamadas de emergência, a única proteção real é um aparelho mais recente que ainda receba atualizações.
