Oito bytes numa mensagem de texto que nunca vai ver podem tirar um telemóvel Android da rede
A mensagem nunca chega à sua caixa de entrada. É um WAP Push, o tipo de SMS silencioso que as operadoras usam para configurações, e tem oito bytes. O investigador que a descobriu, Mark B, publicou a análise completa em smsofdeath.com a 29 de outubro e depois pôs no GitHub uma aplicação de prova de conceito funcional. O BleepingComputer deu a notícia na sexta-feira. A falha tem o identificador CVE-2026-58882 e não precisa de nada da sua parte. Nem toque, nem ligação, nem pré-visualização.
O que acontece é um erro de matemática. O Android lê um valor de comprimento da mensagem, converte-o para um tipo numérico que não o consegue conter e tenta reservar uma quantidade negativa de memória. O processo de telefone vai abaixo. Durante um ou dois segundos não há rede móvel, e qualquer chamada em curso cai, incluindo uma chamada para os serviços de emergência. Por si só, é um incómodo. O problema é que a rede nunca recebe a confirmação de entrega, por isso a operadora reenvia, e a mensagem guardada é relida de cada vez que o processo reinicia. Envie vinte delas, diz o investigador, e o telemóvel entra num ciclo de reinícios. Um aparelho de teste com Android 12 reiniciava para o modo de recuperação a cada 90 segundos até ser reposto de fábrica.
A Google recebeu o relatório a 5 de maio, escreveu uma correção em junho e distribuiu-a na atualização de segurança de outubro de 2026 para o Android 14 a 17, embora não conste do boletim de outubro. O Android 12 e 13 estão fora da janela de correções e continuam vulneráveis. Portanto, a pergunta para si resume-se a uma linha nas Definições, em Segurança ou em Acerca do telemóvel: a data da atualização de segurança do Android. Outubro de 2026 ou mais recente e está protegido. Se for mais antiga, procure atualizações e reinicie. Se o seu telemóvel não consegue passar do Android 13, eis mais uma razão para pensar em substituí-lo. E se alguma vez um telemóvel ficar preso a reiniciar depois de uma rajada destas, não escolha a opção de apagar tudo no ecrã de recuperação. Um técnico consegue remover as mensagens com um cabo e um PC.
O Tendvane só trata do lado do Windows, mas a sua verificação de atualizações faz pelo PC o que aquela linha nas Definições faz pelo telemóvel: diz-lhe se as correções já existem e simplesmente ainda não chegaram.