Foi publicado um exploit funcional para uma vulnerabilidade no Android chamada “SMS of Death” e registada como CVE-2026-58882. Basta uma mensagem SMS de dados de oito bytes, que não aparece na caixa de entrada, para fazer falhar o processo de telefonia do sistema. O telemóvel perde a rede e as chamadas em curso caem, incluindo chamadas para números de emergência. Com o envio de várias mensagens seguidas, o aparelho pode ficar preso num ciclo de reinícios. A Google já distribuiu uma correção para o Android 14 a 17. As versões 12 e 13 ficaram sem correção, embora o código vulnerável também esteja nelas.
Resposta rápida: A falha CVE-2026-58882 (“SMS of Death”) deixa qualquer pessoa fazer falhar à distância o serviço de telefonia de um Android sem atualizar, sem que a vítima tenha de fazer nada. A correção vem no nível de patch de segurança 2026-10-01 ou posterior para o Android 14 a 17. Confirme o nível de patch nas definições do telemóvel e instale as atualizações pendentes. Se o seu aparelho ainda usa Android 12 ou 13, não existe correção oficial e deve ponderar a substituição.
Uma mensagem invisível que derruba a rede móvel
O problema está no WapPushOverSms, um componente da camada de telefonia do Android (frameworks/opt/telephony). Este componente trata as mensagens WAP Push, um tipo de SMS binária que o sistema usa por exemplo para avisos de MMS e para configurações enviadas pelo operador. Estas mensagens são processadas antes de chegarem à aplicação de mensagens. Por isso, quem é atacado não vê nada na caixa de entrada nem fica a saber o número de quem enviou.
A página de divulgação técnica explica o erro. A função decodeWapPdu() lê o comprimento do cabeçalho WSP, que vem codificado como uintvar, e obtém um valor do tipo long. Esse valor é depois convertido em inteiro de 32 bits sem que se verifique se está dentro dos limites aceitáveis. Com um valor escolhido de propósito, o resultado fica negativo (-2147483648). Quando o sistema tenta reservar memória com esse tamanho, é lançada uma NegativeArraySizeException que nenhuma parte do código interceta, e o processo com.android.phone termina.
O processo com.android.phone gere toda a ligação celular. Quando falha, o telemóvel fica momentaneamente sem rede e qualquer chamada ativa cai. A divulgação salienta o risco para a segurança das pessoas, porque isto também acontece durante chamadas de emergência.
Do corte de chamada ao telemóvel inutilizado
O efeito não se limita a uma falha passageira. As mensagens maliciosas ficam na fila de mensagens recebidas pendentes (content://sms/raw) e o sistema volta a tentar processá-las sempre que arranca. Os operadores podem também repetir a entrega. Nos testes descritos na divulgação, cerca de 20 mensagens bastaram para deixar aparelhos num ciclo de reinícios. Nesse caso, o mecanismo de recuperação do Android (RescueParty) acaba por pôr o telemóvel em modo de recuperação.
Num dos aparelhos testados, com Android 12, o telemóvel reiniciou em modo de recuperação mais ou menos a cada 90 segundos e só voltou a funcionar com a reposição dos valores de fábrica. Um contribuidor no GitHub encontrou uma forma de apagar as mensagens através do Android Debug Bridge (ADB). Este método exige um computador e conhecimentos técnicos, o que o deixa fora do alcance da maioria das pessoas.
A divulgação diz que a falha foi reproduzida desde o Android 12 até ao Android 16. Entre os aparelhos testados estão um Pixel 9 e vários modelos Samsung Galaxy. É importante notar que se trata de uma falha de negação de serviço: não permite roubar dados nem executar código no telemóvel. Até à data, não há indícios confirmados de exploração em larga escala.
Versões afetadas e estado da correção
| Versão do Android | Estado |
|---|---|
| Android 12 e 13 | Vulneráveis e sem correção oficial (já fora do período de suporte de segurança) |
| Android 14, 15, 16 e 17 | Corrigidos com o nível de patch 2026-10-01 ou posterior, desde que o fabricante tenha distribuído a atualização |
| Identificador | CVE-2026-58882 |
| Gravidade | Crítica, segundo o GrapheneOS, que diz que a falha consta do boletim de segurança Android de novembro de 2026 (não foi encontrada uma pontuação CVSS oficial) |
Há um pormenor que pode confundir quem se guia pelos boletins oficiais. O Boletim de Segurança Android de outubro de 2026 não inclui o CVE-2026-58882, embora a correção esteja no lançamento desse mês segundo a divulgação. O projeto GrapheneOS afirmou publicamente que a vulnerabilidade tem gravidade crítica no boletim de novembro e que a correção já estava nas suas versões de pré-visualização de segurança desde a versão 2026072901, de julho.
Cronologia
| Data | Acontecimento |
|---|---|
| 5 de maio de 2026 | Falha comunicada ao programa de recompensas Android & Devices VRP da Google |
| 15 de junho de 2026 | Um engenheiro do Android escreve o commit 735d967, “Fix remote DoS in decodeWapPdu” |
| Julho de 2026 | Fabricantes recebem a correção através do programa de pré-visualização de segurança. O GrapheneOS distribui-a aos seus utilizadores |
| 5 de outubro de 2026 | Publicação do boletim de outubro (nível de patch 2026-10-01). A correção chega ao Android 14 a 17, mas o CVE não aparece listado |
| 29 de outubro de 2026 | Divulgação pública da análise técnica e do exploit de prova de conceito |
| Novembro de 2026 | Inclusão prevista no boletim de novembro com gravidade crítica, segundo o GrapheneOS |
Quem reportou a falha diz que o relatório foi tratado várias vezes como uma questão sem impacto de segurança, e que foi por isso que decidiu divulgá-la. O histórico público do código do Android mostra, no entanto, que a correção existia desde junho. A alteração no Android Open Source Project não acrescenta a verificação de limites proposta no relatório. Em vez disso, captura as exceções que surgem ao descodificar a mensagem e apaga a mensagem problemática da base de dados de SMS, para que não volte a provocar falhas.
Indicadores técnicos
O exploit de prova de conceito é uma aplicação Android que envia a mensagem maliciosa de um telemóvel para outro. Isto torna o ataque muito mais fácil, porque deixa de ser preciso ter ferramentas próprias. Estes são os elementos úteis para deteção e filtragem:
| Tipo | Indicador |
|---|---|
| Payload (PDU WAP Push, 8 bytes) | 01 06 88 80 80 80 00 BE |
| Vetor | SMS de dados para a porta 2948 (WAP Push) |
| Função vulnerável | WapPushOverSms.decodeWapPdu() |
| Sinal no registo do sistema | FATAL EXCEPTION em com.android.phone com NegativeArraySizeException |
| Persistência | Entradas pendentes em content://sms/raw com porta de destino 2948 |
O que fazer agora
- Verifique o nível de patch: nas definições do telemóvel, procure a secção “Segurança” ou “Acerca do telemóvel” e confirme que a data da atualização de segurança é
2026-10-01ou posterior. A data das atualizações do sistema Google Play é uma coisa diferente e não substitui esta. - Instale as atualizações pendentes: a disponibilidade depende do fabricante e, em alguns casos, do operador. Os aparelhos mais antigos ou mais baratos costumam receber as atualizações mais tarde.
- Android 12 ou 13: não há correção oficial. Se o aparelho não puder atualizar para uma versão suportada, ponderar a substituição é a forma mais segura de eliminar o risco.
- Empresas com frotas móveis: usem a solução de gestão de dispositivos (MDM) para identificar aparelhos com nível de patch anterior a outubro e criem regras de conformidade que os bloqueiem ou assinalem.
- Operadores: filtrar na rede SMS binárias para a porta 2948 com o padrão conhecido ajuda a reduzir a exposição. Convém ter cuidado, porque esta porta também serve tráfego legítimo, como os avisos de MMS.
- Aparelho já em ciclo de reinícios: fora a reposição de fábrica, a única via documentada é apagar as mensagens por ADB. Peça apoio técnico especializado antes de apagar os dados.
Porque é que isto importa em Portugal
Uma falha que corta chamadas, incluindo para o 112, é um problema de disponibilidade que vai além do incómodo. Para os cidadãos, mostra que um telemóvel sem atualizações de segurança fica exposto mesmo que não se abra nenhum link nem se instale nada. Muita gente em Portugal continua a usar aparelhos com Android 12 ou 13, sobretudo modelos de gama de entrada e telemóveis passados de mão em mão dentro da família.
Nas PME e noutras organizações, o telemóvel é muitas vezes a principal ferramenta de contacto com clientes, equipas no terreno e serviços de piquete. O Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2) obriga as entidades abrangidas a gerir riscos, incluindo a gestão de vulnerabilidades e a segurança dos equipamentos que usam. Um parque de telemóveis sem atualizações cabe claramente nessa obrigação. Os operadores de comunicações eletrónicas, também abrangidos, podem ter um papel na filtragem destas mensagens na rede. O RGPD também conta a disponibilidade dos sistemas entre as medidas técnicas de segurança do tratamento, o que reforça a importância de manter atualizados os dispositivos usados no trabalho.
Até ao momento não há um alerta específico do CNCS/CERT.PT sobre esta vulnerabilidade. As recomendações gerais do Centro Nacional de Cibersegurança sobre atualizações regulares e sobre a substituição de equipamentos sem suporte aplicam-se diretamente a este caso.
Perguntas frequentes
O que é o “SMS of Death” no Android?
É a vulnerabilidade CVE-2026-58882, na componente de telefonia do Android. Uma SMS WAP Push malformada, com oito bytes, faz falhar o processo com.android.phone. O telemóvel perde a rede, as chamadas em curso caem e, se a mensagem for repetida, o aparelho pode entrar num ciclo de reinícios.
Preciso de abrir a mensagem para ser afetado?
Não. É um ataque sem clique: o sistema processa a mensagem antes de ela chegar à caixa de entrada, por isso não aparece nada na aplicação de mensagens e o número de quem a enviou também não fica visível.
Como sei se o meu telemóvel está protegido?
Confirme nas definições que tem Android 14 ou mais recente e que o nível de patch de segurança é 2026-10-01 ou posterior. Os aparelhos com Android 12 ou 13 não recebem correção oficial e continuam vulneráveis.
A falha permite roubar os meus dados?
Não. Trata-se de uma negação de serviço: deixa o telemóvel sem comunicações e pode obrigar a repor os valores de fábrica, o que faz perder os dados sem cópia de segurança, mas não dá acesso às informações guardadas no aparelho.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente na página de divulgação técnica SMS of Death, no repositório da prova de conceito no GitHub, na correção publicada no Android Open Source Project, no Boletim de Segurança Android de outubro de 2026, em declarações públicas do GrapheneOS e no BleepingComputer.