Há uma fragilidade antiga escondida nas entranhas dos telemóveis Android, herdada de um tempo em que as mensagens técnicas das redes móveis eram pouco mais que instruções silenciosas. Agora, uma mensagem maliciosa pode fazer tropeçar o serviço telefónico sem que ninguém lhe toque, lembrando que o que parece obsoleto raramente desaparece por completo. A correção já chegou a várias versões recentes, mas nem todos os aparelhos foram alcançados, e fica por saber até onde a proteção se estenderá.
“SMS da morte”: uma mensagem sem clique pode deixar Android sem rede e provocar reinícios
Basta o telemóvel receber a mensagem e tentar processá-la
Mark
Em termos simples, o que aconteceu aqui?
Mimi
Um investigador, Mark Blah, mostrou que uma mensagem manipulada, via WAP Push, pode fazer falhar o serviço telefónico de um Android sem o utilizador fazer nada.
Mark
Porque é que o facto de ser “zero-click” pesa tanto?
Mimi
Porque o conselho habitual, não abrir nem clicar em nada suspeito, deixa de servir. O sistema processa a mensagem antes de ela aparecer na caixa de entrada.
Luke
Convém medir o alcance. Não há provas públicas confirmadas de exploração em larga escala. O que existe é uma demonstração de investigação.
Mark
E as chamadas de emergência?
Mimi
A fonte diz que podem cair se a falha ocorrer durante a chamada. É uma possibilidade, não um caso documentado.
Luke
Outro ponto: o número CVE não aparece no boletim público de outubro, embora a correção lhe seja associada. Essa ligação vem da informação divulgada sobre a investigação, não do boletim.
Mark
E quem fica de fora?
Mimi
Quem usa Android 12 e 13, que não receberam a mesma correção nesse ciclo, e quem tem aparelhos sem suporte do fabricante.
Luke
E os reinícios em ciclo só foram descritos em certos equipamentos, com envio repetido. Não sabemos quantos modelos nem que fabricantes.
Il Polso
- Uma mensagem que nem chega a ver-se na caixa de entrada pode derrubar a rede do telemóvel em segundos.
- O ataque dispensa qualquer clique, ficheiro ou visita a página suspeita, tornando a defesa habitual quase inútil.
- A correção chegou nas atualizações de outubro de 2026 para Android 14 a 17, deixando de fora o Android 12 e 13.
- Telemóveis antigos já sem atualizações continuam expostos, e a verificação do nível de segurança tornou-se o gesto mais urgente.
Há uma fragilidade antiga escondida nas entranhas dos telemóveis Android, herdada de um tempo em que as mensagens técnicas das redes móveis eram pouco mais que instruções silenciosas. Agora, uma mensagem maliciosa pode fazer tropeçar o serviço telefónico sem que ninguém lhe toque, lembrando que o que parece obsoleto raramente desaparece por completo. A correção já chegou a várias versões recentes, mas nem todos os aparelhos foram alcançados, e fica por saber até onde a proteção se estenderá.
Imagine um telemóvel Android pousado numa mesa, sem que ninguém lhe toque, e de repente perde a rede. Esta é a situação descrita numa vulnerabilidade batizada de “SMS da morte”, identificada como CVE-2026-58882, que o Executive Digest retomou a partir de notícia do ‘El Economista’.
O investigador de cibersegurança Mark Blah demonstrou que uma mensagem especialmente construída pode provocar a falha do processo que trata das funções telefónicas. O mais inquietante é que o sistema processa essa mensagem automaticamente, antes de ela chegar à caixa de entrada.
O problema está ligado ao WAP Push, uma tecnologia antiga que ainda vive dentro de componentes do Android. Como é um ataque “zero-click”, basta o telemóvel receber a mensagem para que tudo possa falhar. As consequências podem ir da perda de cobertura e da queda de chamadas, incluindo emergências, até ciclos de reinícios em certos aparelhos. Não há, para já, provas públicas de exploração generalizada, nem se trata de roubo de dados, apenas de avaria.
A correção surgiu nas atualizações de segurança de outubro de 2026 para Android 14 a 17. Quem ainda usa Android 12 ou 13 não a recebeu nesse ciclo. A recomendação é simples: verificar o nível de atualização de segurança nas definições e instalar a versão mais recente disponível. Nos modelos sem suporte, a troca do aparelho pode ser a única solução segura.
Fica a lição de que funcionalidades esquecidas podem continuar a representar riscos durante muitos anos. Resta acompanhar se os fabricantes estenderão a correção às versões 12 e 13.
Imagine um telemóvel Android parado em cima da mesa, sem que ninguém lhe toque. Chega uma mensagem que nem aparece na caixa de entrada, e o aparelho perde a rede. É este o cenário descrito numa vulnerabilidade batizada de “SMS da morte”, identificada como CVE-2026-58882 e noticiada pelo ‘El Economista’, que o Executive Digest retomou.
A falha foi demonstrada pelo investigador de cibersegurança Mark Blah. Segundo a investigação, uma mensagem especialmente manipulada pode provocar uma falha no processo responsável pelas funções telefónicas do equipamento. O ponto mais preocupante é que o sistema processa a mensagem automaticamente, antes de ela chegar à caixa de entrada.
O problema está ligado ao WAP Push, uma tecnologia antiga que serve para enviar mensagens com instruções ou conteúdos que o telemóvel interpreta sozinho. Apesar de pertencer a funcionalidades antigas das redes móveis, continua integrada em componentes do Android. Quando recebe uma mensagem maliciosa com uma estrutura específica, o sistema pode errar no tratamento dos dados e fazer falhar o serviço das comunicações telefónicas. Trata-se de um ataque “zero-click”: não é preciso abrir a aplicação de mensagens, descarregar ficheiros ou visitar páginas suspeitas. Basta o telemóvel receber a mensagem e tentar processá-la.
As consequências dependem das condições da exploração. Uma mensagem pode interromper temporariamente o serviço telefónico, com perda de cobertura e queda de chamadas em curso, incluindo chamadas para serviços de emergência, se a falha ocorrer durante a comunicação. De acordo com a investigação, o envio repetido de mensagens manipuladas pode causar falhas sucessivas e, em certos equipamentos, um ciclo de reinícios. Como a mensagem pode nem aparecer na caixa de entrada, é mais difícil para o utilizador perceber a origem do problema.
Importa separar esta falha de um ataque para roubar palavras-passe ou dados bancários. O objetivo demonstrado é provocar uma avaria de funcionamento, o que se designa por negação de serviço. Até agora, não há provas públicas confirmadas de que a vulnerabilidade esteja a ser explorada em ataques generalizados contra utilizadores.
O investigador reproduziu a falha em equipamentos com Android entre as versões 12 e 16. Segundo a informação divulgada, a correção entrou nas atualizações de segurança de outubro de 2026 para o Android 14, 15, 16 e 17. Quem usa Android 12 ou 13 não recebeu a mesma correção nesse ciclo. O risco real depende ainda das atualizações que cada fabricante entrega. Há um detalhe a registar: apesar de associada às atualizações de outubro, a vulnerabilidade não surge identificada pelo número CVE no boletim público de segurança desse mês.
A principal recomendação é verificar se o telemóvel tem as atualizações de segurança mais recentes. Nas definições, na secção de informações do dispositivo ou de atualização de software, consulta-se o nível da atualização de segurança; o caminho varia consoante a marca e o modelo. Nos aparelhos compatíveis, deve instalar-se a atualização de outubro de 2026 ou uma posterior que inclua a correção. Nos mais antigos, que deixaram de receber atualizações, o fabricante poderá não ter solução, e convém confirmar se o modelo ainda tem suporte de segurança, ponderando a troca quando este terminar. Como o ataque não depende de o utilizador abrir nada, os cuidados habituais com SMS fraudulentos, embora importantes, não bastam neste caso.
Fica a lição de que uma funcionalidade antiga, pouco relevante no uso diário, pode continuar a ser um problema de segurança muitos anos depois de criada. O que vale acompanhar é se os fabricantes estenderão a correção ao Android 12 e 13.
Citazioni salienti
Uma mensagem especialmente manipulada pode provocar uma falha no processo responsável pelas funções telefónicas do equipamento.— Mark Blah, investigador de cibersegurança (paráfrase)
Vuoi la storia completa?
Leggi l'originale su Executive Digest ↗
Technology