O pesquisador de segurança Mark Blah lançou uma ferramenta de prova de conceito para explorar uma vulnerabilidade recentemente corrigida no sistema operacional Android, apelidada de "SMS of Death" e registrada sob o identificador (CVE-2026-58882). Esta vulnerabilidade permite que atacantes desativem serviços de comunicação celular ou derrubem telefones alvo remotamente, sem qualquer interação do usuário, através do envio de uma mensagem de texto especialmente modificada.
Esta vulnerabilidade é classificada como um ataque de negação de serviço que não requer interação (Zero-click), podendo interromper chamadas em andamento, incluindo chamadas de emergência. O mais grave é que o sistema Android processa a mensagem antes que ela chegue à caixa de entrada, não deixando ao usuário qualquer indicação visual que explique o motivo da falha do dispositivo.
Como funciona a vulnerabilidade WapPushOverSms?
O pesquisador técnico explicou que a vulnerabilidade decorre da falta de validação adequada do valor do comprimento do cabeçalho na função (decodeWapPdu) dentro dos componentes (WapPushOverSms) no sistema Android. Para executar o ataque, pode-se enviar uma mensagem WAP Push corrompida, composta por oito bytes, para a porta (2948) como dados de serviço de mensagens curtas.
Ao traduzir esse valor para um número inteiro de 32 bits sem verificação de limites, ele se transforma em (-2147483648). Quando o Android tenta alocar memória usando esse valor negativo, ele dispara uma exceção (NegativeArraySizeException) que leva ao colapso do processo de gerenciamento de comunicações (com.android.phone). Como resultado, as comunicações celulares são interrompidas e os dispositivos travam.
Riscos de repetição e loops de reinicialização
Os testes do pesquisador mostraram que o envio de 20 mensagens maliciosas pode fazer com que os telefones entrem em loops de reinicialização contínuos. Em um dispositivo com Android 12, o telefone reiniciava para o modo de recuperação (Recovery Mode) a cada 90 segundos aproximadamente, exigindo uma redefinição de fábrica para restaurar o funcionamento do aparelho.
Embora o Google tenha incluído uma correção de segurança que resolve o problema capturando as exceções e excluindo as mensagens maliciosas do banco de dados de SMS, dispositivos mais antigos, como o Android 12 e 13, permanecem vulneráveis por não receberem a atualização.
O que isso significa para os usuários?
Com a disponibilidade pública da ferramenta de prova de conceito, recomenda-se que os usuários de Android com suporte instalem as atualizações de segurança mais recentes assim que estiverem disponíveis, para proteger seus dispositivos contra possíveis ataques e evitar falhas repetidas no sistema.