Falha «SMS of Death» no Android pode interromper chamadas e deixar telemóveis presos em reinícios sucessivos

Uma mensagem invisível pode interromper uma chamada telefónica

Uma mensagem de texto especialmente concebida, com apenas oito bytes, pode bloquear o serviço de chamadas em telemóveis Android vulneráveis, desligar chamadas em curso e, se for recebida repetidamente, deixar o dispositivo com dificuldades em iniciar normalmente. O investigador de segurança Mark Blaszczyk divulgou a falha a 29 de outubro de 2026, depois de a ter comunicado pela primeira vez à Google a 5 de maio.

A vulnerabilidade, descrita como SMS of Death e identificada na cobertura de segurança como CVE-2026-58882, afeta o software que processa determinadas mensagens recebidas antes de estas chegarem a uma aplicação de mensagens. O destinatário não precisa de abrir nada, instalar uma aplicação ou tocar numa ligação. Segundo Blaszczyk, a mensagem maliciosa não deixa qualquer registo na caixa de entrada nem gera uma notificação.

Blaszczyk reproduziu o problema num Google Pixel 9 com o firmware de abril de 2026 e em vários telemóveis Samsung Galaxy, incluindo modelos da série Galaxy A. Referiu ter conseguido reproduzir a falha em todos os testes realizados nesses dispositivos. Uma única mensagem interrompeu o serviço móvel durante cerca de um a dois segundos, enquanto o Android reiniciava o processo de chamadas.

Blaszczyk, investigador de segurança independente, descreveu o efeito imediato no processo Android responsável pelas funções telefónicas:

«Uma única SMS WAP Push malformada bloqueia o com.android.phone no Android, desligando chamadas em curso (incluindo chamadas de emergência), sem qualquer interação da vítima»,

Não foram comunicados ataques fora de ambientes de teste, e o alerta sobre interferências nos serviços de emergência decorre da avaliação do investigador. Não foi publicada uma lista completa dos telemóveis, redes móveis e países afetados. A preocupação prática é que uma breve interrupção do serviço pode terminar uma conversa, enquanto interrupções repetidas podem impedir alguém de manter a ligação quando precisa de ajuda.

Porque é que a mensagem nunca chega à caixa de entrada

O Android recebe o conteúdo malicioso através de WAP Push, um mecanismo mais antigo utilizado para enviar dados e instruções pelas redes móveis. Entre as utilizações legítimas estão solicitar ao telemóvel que obtenha uma mensagem multimédia ou aplique definições da operadora. Ao contrário de uma mensagem de texto normal, escrita para ser lida por uma pessoa, este tipo de mensagem é processado automaticamente pelo software do sistema.

O componente WapPushOverSms do Android trata desse processamento. A falha ocorre na função de descodificação, onde o telemóvel lê informação que indica o comprimento de uma parte da mensagem. Como o serviço de chamadas encontra o erro antes de terminar o processamento normal da mensagem, o destinatário não tem qualquer texto visível para analisar ou apagar.

Assim, o ataque contorna o momento em que as pessoas costumam decidir se uma mensagem parece suspeita. Ignorar remetentes desconhecidos ou não abrir ligações pouco ajuda contra uma falha desencadeada durante o processamento automático. A proteção depende sobretudo da correção do componente do sistema operativo que trata a mensagem.

Um número elevado transforma-se num comprimento negativo

Blaszczyk identificou a origem do bloqueio num erro de conversão numérica. O Android lê o comprimento indicado no cabeçalho da mensagem através de um tipo de dados capaz de armazenar números elevados e, em seguida, converte esse valor num número inteiro com sinal de 32 bits, sem verificar primeiro se este cabe dentro dos limites.

No teste descrito, o valor 2,147,483,648 transforma-se em menos 2,147,483,648 durante essa conversão. Um número inteiro com sinal desse tamanho só pode representar números positivos até 2,147,483,647. O valor criado para o teste ultrapassa esse limite por uma unidade.

O Android tenta então reservar espaço para um bloco de dados usando o comprimento negativo. Um tamanho negativo não faz sentido nessa operação, pelo que o software gera um erro denominado NegativeArraySizeException. Como o erro não é tratado devidamente, termina o com.android.phone.

A mensagem de oito bytes contém uma sequência de cinco bytes que fornece a informação problemática sobre o comprimento. O seu tamanho reduzido ajuda a perceber a gravidade da falha: uma mensagem mínima recebida pode provocar uma perturbação muito maior, ao fazer falhar um processo central do sistema durante a interpretação do conteúdo.

Como uma interrupção breve se transforma numa falha repetida

As redes móveis esperam normalmente que um telemóvel confirme a receção de uma mensagem. Quando o Android bloqueia antes de concluir essa comunicação, a operadora pode tentar enviá-la novamente. Assim, um mecanismo concebido para tornar as mensagens mais fiáveis pode fazer com que o mesmo conteúdo nocivo volte ao telemóvel.

O Android também mantém as mensagens recebidas numa fila pendente enquanto as processa. Blaszczyk afirmou que uma mensagem malformada pode ficar nessa fila e ser processada novamente após um reinício, criando outra oportunidade para que ocorra o mesmo bloqueio.

Blaszczyk explicou porque é que reiniciar o dispositivo pode não pôr fim à perturbação:

«A mensagem malformada permanece na fila e é novamente processada em cada arranque, pelo que o telemóvel pode bloquear ao iniciar até que seja removida»,

Blaszczyk alertou que cerca de 20 mensagens poderiam tornar um dispositivo inutilizável durante um período prolongado. Os testes também descreveram a receção rápida de cerca de 30 mensagens antes de surgirem falhas mais persistentes. Estes valores referem-se às condições dos testes e não a um limiar exato que todos os telemóveis atingiriam.

O investigador atribuiu algumas falhas persistentes a danos na base de dados SQLite usada para armazenar dados de SMS recebidas. O SQLite é um sistema de bases de dados pequeno, utilizado por aplicações e sistemas operativos para guardar registos estruturados. Se os registos necessários durante o arranque desencadearem repetidamente uma falha, o serviço de chamadas pode bloquear sempre que o telemóvel tentar recuperar.

Nos testes, as tentativas de reenvio pela operadora causaram problemas intermitentes nas chamadas durante até uma semana, incluindo perturbações atribuídas a uma única mensagem maliciosa. A combinação de mensagens retidas pela operadora e de registos armazenados no telemóvel ajuda a explicar porque é que os efeitos podem prolongar-se para além do envio inicial.

Porque é que o ecrã de recuperação pode significar perda de dados

O Android inclui um mecanismo de recuperação automática chamado RescueParty. Quando um componente essencial continua a falhar, este tenta recuperar e pode colocar o telemóvel no modo de recuperação após cerca de 90 segundos. Os utilizadores podem então deparar-se com uma opção para apagar os dados.

Uma reposição de fábrica apaga os dados e as definições locais. Blaszczyk afirmou que, nos testes, a reposição só proporcionou um alívio temporário, pois a operadora podia voltar a enviar as mensagens que ainda aguardavam confirmação de receção. Quem optasse por apagar o telemóvel poderia, por isso, perder informação pessoal e voltar a deparar-se com falhas.

Blaszczyk descreveu um método de recuperação através do Android Debug Bridge, ou ADB, uma ferramenta que permite a um computador comunicar com um dispositivo Android para desenvolvimento e manutenção. O procedimento consistia em apagar os registos SMS afetados durante um curto período em que o telemóvel estava acessível.

A recuperação através do ADB exige acesso técnico, e muitos proprietários não terão configurado previamente a ligação necessária. O método descrito pelo investigador também implicava transferir um cartão SIM físico para um telemóvel que não usasse Android, para que as mensagens pendentes pudessem ser recebidas e confirmadas. Alertou que a recuperação poderia ser mais difícil quando a subscrição móvel utiliza um eSIM.

Perante falhas repetidas, a prioridade concreta é procurar assistência técnica qualificada antes de escolher a opção de apagar os dados. O método de recuperação descrito envolve registos do sistema e definições de acesso, pelo que é mais complexo do que apagar uma mensagem de texto normal.

Que versões do Android precisam de atenção?

O intervalo de versões principalmente afetado, segundo os relatos técnicos, vai do Android 12 ao Android 16. Alguns relatos alargam-no até ao Android 17. Os testes identificaram especificamente dispositivos Pixel e Samsung Galaxy, embora se suspeite que o problema possa abranger mais modelos, por estar no código de telefonia partilhado do Android.

A correção de outubro de 2026 abrange, segundo os relatos, o Android 14 ao Android 17. Os telemóveis que ainda usam Android 12 ou Android 13 são a preocupação mais evidente em termos de suporte: estas versões são descritas como estando fora do atual período de suporte de segurança da Google, deixando os proprietários dependentes de uma correção disponibilizada pelo fabricante ou por outro fornecedor do sistema operativo.

A versão do Android de um telemóvel e o estado das respetivas atualizações de segurança respondem a perguntas diferentes. A versão identifica a geração do sistema operativo. A informação sobre as atualizações de segurança ajuda a perceber há quanto tempo as vulnerabilidades foram corrigidas. Dois telemóveis com a mesma versão do Android podem receber correções em momentos diferentes.

Os fabricantes e as operadoras influenciam o momento em que as atualizações chegam a cada modelo. Os proprietários devem verificar a data da atualização de segurança nas Definições, geralmente em Acerca do telemóvel, Segurança ou Atualizações de software, e instalar a versão mais recente disponível. Para esta falha, a correção comunicada está associada à atualização de outubro de 2026, embora seja útil confirmar junto do fabricante se o calendário de disponibilização não for claro para o modelo em causa.

A correção seguiu um percurso diferente do da queixa

Blaszczyk afirmou que a Google classificou inicialmente a sua comunicação como um problema não relacionado com segurança e encerrou o caso sem aceitar a medida que ele pretendia. O relato publicado descreve novos recursos e uma nova classificação como problema não relacionado com segurança a 29 de outubro. Entretanto, os engenheiros do Android estavam a desenvolver uma correção.

A sequência comunicada distingue o tratamento da queixa do investigador da integração do código nos sistemas de desenvolvimento e atualização do Android:

• 5 de maio de 2026: Blaszczyk comunicou pela primeira vez a vulnerabilidade à Google.
• 15 de junho: A Google criou uma correção de engenharia para a falha no processamento das mensagens.
• Julho: A GrapheneOS afirmou ter recebido a correção através das versões de pré-visualização de segurança e tê-la implementado nesse mês.
• 5 de agosto: Segundo os relatos, a correção foi integrada no processo de desenvolvimento da Google.
• Outubro: A alteração foi publicada no Android Open Source Project e incluída em atualizações para o Android 14 ao Android 17.
• 29 de outubro: Blaszczyk divulgou publicamente as suas conclusões.
• Novembro: A GrapheneOS afirmou que se esperava que a vulnerabilidade fosse incluída no boletim de segurança do Android.

A GrapheneOS sugeriu que um problema de comunicação interna poderia explicar a forma como a Google tratou a comunicação. Essa explicação foi uma especulação dos programadores do projeto do sistema operativo. O registo aqui descrito inclui tanto uma queixa rejeitada como uma alteração de engenharia destinada a impedir o bloqueio.

O boletim de novembro era o próximo marco de publicação anunciado. A GrapheneOS afirmou que já tinha implementado a correção em julho, pelo que a data posterior do boletim dizia respeito à documentação pública de segurança, e não à primeira implementação da correção.

O que muda com a correção

A correção da Google, segundo os relatos, alarga o tratamento de exceções para que o Android detete o erro durante a execução e remova da fila pendente a mensagem malformada. Assim, o processamento pode continuar para além do registo nocivo, em vez de bloquear repetidamente por causa dele.

Blaszczyk tinha proposto verificar se o comprimento declarado no cabeçalho era válido antes de o converter. A abordagem de engenharia comunicada trata antes a falha e apaga a mensagem responsável. Na prática, remover esse registo também resolve o processamento repetido que pode transformar um único envio num problema contínuo de serviço.

A correção é descrita como atuando quando encontra uma mensagem malformada. As cerca de 20 mensagens mencionadas nos testes dizem respeito à gravidade das perturbações repetidas, não a um número que a correção tenha de aguardar antes de entrar em ação.

A publicação de uma correção no Android Open Source Project significa que o código subjacente está disponível para ser integrado no software Android. A sua disponibilização a cada proprietário continua a depender da criação e distribuição de uma atualização adequada para o telemóvel em causa. Por isso, é importante verificar o estado de suporte de cada modelo, além de saber que a Google corrigiu o código.

O que os proprietários podem fazer agora

Os proprietários de telemóveis com suporte devem instalar a atualização de segurança mais recente do sistema e consultar as notas de lançamento ou as informações de suporte do fabricante para confirmar que a correção está incluída. Quem utiliza Android 12 ou Android 13 deve perguntar se o modelo receberá uma correção ou se pode ser atualizado para uma versão do Android com suporte.

Blaszczyk publicou uma aplicação de demonstração e o respetivo código-fonte, o que torna mais urgente a disponibilização rápida da correção. A publicação inclui um alerta contra visar outras pessoas, sobretudo porque a interferência nas comunicações de emergência pode criar um perigo grave.

Os utilizadores cujos telemóveis percam repetidamente o serviço móvel ou reiniciem devem contactar o fabricante do dispositivo ou um serviço de reparação qualificado. Um telemóvel que apresente um aviso de recuperação deve ser tratado com cuidado por quem pretenda preservar os dados. Quem precisar de assistência urgente enquanto o dispositivo não consegue manter uma chamada deve utilizar outro telemóvel funcional.

A principal conclusão para os proprietários é simples: esta falha ocorre antes de haver uma mensagem suspeita para avaliar. Uma atualização de segurança recente, disponibilizada para o telemóvel efetivamente utilizado, é a medida de proteção mais prática indicada para os dispositivos com suporte.

Pontos principais

• Uma SMS WAP Push malformada pode bloquear o serviço de chamadas do Android sem qualquer ação do destinatário.
• Blaszczyk reproduziu a falha num Pixel 9 e em dispositivos Samsung Galaxy, com interrupções individuais de cerca de um a dois segundos.
• O processamento repetido e o reenvio pela operadora podem causar perturbações prolongadas, falhas repetidas e avisos de recuperação.
• A correção de outubro de 2026 abrange, segundo os relatos, o Android 14 ao Android 17. Os proprietários de dispositivos com Android 12 e Android 13 dependem de apoio adicional dos fornecedores dos seus dispositivos.
• Não foram comunicados ataques fora dos testes. O investigador alertou para o risco de as interrupções nas chamadas afetarem o acesso aos serviços de emergência.
• Uma reposição de fábrica apaga dados e pode ser seguida pelo reenvio de mensagens nocivas. A recuperação técnica pode exigir o ADB.