Falha em SMS permite derrubar remotamente celulares Android
Vulnerabilidade em SMS WAP Push causa pane no app de telefonia do Android, derruba até ligações de emergência e pode inutilizar aparelhos Pixel e Samsung de forma remota e persistente.
Segurança
Descubra como uma falha no SMS WAP Push pode comprometer a funcionalidade de celulares Android, afetando até chamadas de emergência.
Leia também: Apple libera modelos open source de áudio para voz emocional iOS
Uma falha grave no tratamento de mensagens WAP Push SMS no Android permite que um único SMS malformado derrube o processo de telefonia do sistema (com.android.phone), interrompa chamadas ativas — inclusive para serviços de emergência — e, com repetição do ataque, deixe o aparelho em negação de serviço permanente, sem qualquer interação do usuário.
O que é o ataque Zero Click Silent Remote Android DoS?
O chamado ataque Zero Click Silent Remote Android DoS é uma técnica que usa um SMS de dados WAP Push especialmente forjado para travar, à distância e de forma silenciosa, o componente de telefonia do Android. Ele é “zero click” porque a vítima não precisa tocar em nada: a mensagem não aparece na caixa de entrada, não mostra remetente e não gera notificação visível.
Nos testes divulgados, dispositivos como o Google Pixel 9 com firmware de abril de 2026 e vários modelos Samsung Galaxy e da linha A apresentaram 100% de reprodução do problema. Ao receber o SMS malicioso, o processo com.android.phone sofre uma exceção fatal e é encerrado, derrubando imediatamente qualquer chamada em andamento.
Como funciona o ataque de negação de serviço remoto em dispositivos Android?
O ataque explora uma vulnerabilidade na função que decodifica mensagens WAP Push no Android. Quando o aparelho recebe esse tipo de SMS, o código WapPushOverSms.decodeWapPdu() lê o comprimento do cabeçalho WSP como um valor numérico variável (uintvar). Esse valor chega como um tipo longo, é convertido para inteiro com sinal sem verificação de faixa e usado diretamente como tamanho de um novo array de bytes.
Ao enviar um cabeçalho WSP com um uintvar de cinco bytes que decodifica para um valor muito alto — por exemplo, 0x80000000 — a conversão para inteiro resulta em um número negativo. O sistema tenta então criar um array com tamanho negativo, o que provoca uma NegativeArraySizeException não tratada na thread principal da telefonia e mata o processo com.android.phone.
A mensagem é entregue como SMS de dados, invisível para o usuário. O resultado é um ataque remoto que precisa apenas do número da vítima, não exige que ela abra mensagens ou clique em links, e age sem deixar rastros claros na interface do aparelho.
Entenda o contexto
Em um primeiro momento, o envio de um único SMS malformado provoca quedas transitórias do serviço de telefonia: o processo é derrubado, o Android tenta reiniciá-lo, e o ciclo se repete sempre que o payload é processado. Em testes de estresse, o cenário fica pior.
Quando o atacante dispara o mesmo SMS em sequência — cerca de 30 mensagens rápidas — as quedas do processo se intercalam com as gravações que o provedor de telefonia faz no banco de dados SQLite que armazena os SMS do aparelho. Essa corrida de condições pode corromper o banco de dados.
Com o banco danificado, o com.android.phone passa a falhar assim que é iniciado, apenas por tentar ler a base de mensagens corrompida. O telefone perde de forma persistente a capacidade de fazer e receber ligações, inclusive emergenciais, e simplesmente reiniciar o aparelho não resolve.
Risco à segurança pública e impacto regulatório
A falha é crítica porque atinge diretamente chamadas para serviços de emergência. O próprio pesquisador que divulgou o problema ressalta que “dropping calls is not an inconvenience when one of those calls is to emergency services”. Enquanto o ataque está em curso ou o banco de dados permanece corrompido, o aparelho não consegue garantir uma ligação confiável para números de emergência.
Na Austrália, onde o número de emergência é o 000, a legislação trata o acesso a esse serviço como requisito obrigatório de qualquer linha móvel. Reguladores como a Autoridade Australiana de Comunicações e Mídia (ACMA) e o Departamento de Primeiro-Ministro e Gabinete determinam que as operadoras identifiquem celulares que não conseguem completar chamadas ao 000, auxiliem o cliente a migrar para um aparelho funcional e suspendam o serviço do dispositivo problemático se a situação não for resolvida.
A operadora Telstra afirma de forma direta que “Telstra states plainly that it is required to block phones that can no longer call 000, notifying the customer and blocking the device if nothing is done within 28 days”. Na prática, isso significa que um ataque remoto que coloque um Android nesse estado pode acabar levando ao bloqueio do telefone na rede após 28 dias, ampliando o dano ao usuário.
Por que a falha é persistente e difícil de recuperar?
Além de derrubar o serviço de telefonia, a vulnerabilidade cria um cenário de difícil recuperação. Mesmo um reset de fábrica não é garantia de solução definitiva. Como a mensagem WAP Push maliciosa não chega a ser reconhecida como entregue pelo sistema, a operadora tende a reenviar automaticamente o payload assim que o aparelho volta a se registrar na rede.
Com isso, o ciclo de falhas retorna logo após a restauração, recriando a condição de negação de serviço. Em alguns casos foi necessário, além do reset, intervir no lado da operadora — por exemplo, mudar de SIM ou limpar dados associados — para impedir o reenvio da mensagem.
A situação é ainda mais complicada em dispositivos com eSIM, que não permitem simplesmente transferir o chip para outro telefone para tentar limpar o problema na conta ou na linha. Para usuários comuns, sem apoio técnico especializado ou contato direto com a operadora, a recuperação pode se tornar praticamente inviável.
Resposta do Google e código no GitHub
O problema foi reportado oficialmente ao Google por meio do programa Android & Google Devices VRP, com sugestão de correção simples: incluir uma verificação de faixa antes de converter o valor do cabeçalho WSP para inteiro, descartando valores que extrapolem o limite aceitável.
Segundo o relatório do pesquisador, “The report was filed through the Android & Google Devices VRP and resubmitted twice as a mis-triage appeal. Across three tickets and four engineers, Google classified it as a non-security issue”. A decisão de classificar a falha como não relacionada à segurança, mesmo diante de um cenário de DoS remoto e persistente, gerou críticas na comunidade de segurança.
O código de prova de conceito foi publicado em um repositório público no GitHub, incluindo um aplicativo Android capaz de montar o PDU WAP Push malicioso e enviá-lo como SMS de dados para qualquer número alvo. O autor descreve o projeto como uma ferramenta funcional de teste, com alerta explícito de que se trata de um “working weapon” e que o uso contra terceiros é ilegal, sobretudo por interferir em chamadas de emergência.
Quais riscos o ataque Zero Click representa para usuários de Android?
O principal risco é a perda completa e silenciosa da função básica de telefonia do celular. Com o ataque bem-sucedido, o aparelho deixa de conseguir iniciar ou manter ligações, inclusive para serviços de emergência, e o usuário pode não entender imediatamente a causa, já que não vê nenhuma mensagem suspeita na tela.
Em um cenário mais grave, com corrupção do banco de dados de SMS, o telefone entra em um estado de “semi-brick”: liga, mas não consegue registrar-se plenamente na rede para chamadas, nem se recuperar sozinho após reiniciar. Em países com regras rígidas de acesso a emergências, como a Austrália, isso ainda pode levar ao bloqueio do aparelho na operadora depois de 28 dias sem correção.
Como se trata de um ataque remoto, que só requer o número de telefone da vítima e não produz sinais claros na interface, há potencial para uso malicioso em campanhas direcionadas contra pessoas ou grupos específicos, desde alvos comuns até autoridades e serviços críticos que dependam de telefonia móvel.
Como posso me proteger do ataque e o que operadoras e Google podem fazer?
Até o momento, a proteção definitiva depende de atualizações do sistema Android que incluam a verificação de limites na rotina de processamento de WAP Push ou de filtros nas redes móveis que bloqueiem mensagens WAP Push fora do padrão. Usuários comuns não têm como desativar seletivamente esse tipo de SMS nas configurações.
Especialistas recomendam, sempre que possível, manter o aparelho atualizado com o firmware mais recente, já que correções de segurança costumam ser distribuídas em pacotes mensais. Em ambientes corporativos, administradores podem avaliar políticas de rede e de SIM corporativo com as operadoras para filtrar SMS de dados suspeitos.
Do lado das teles, uma medida emergencial seria implementar filtros para bloquear WAP Push com campos de cabeçalho inválidos ou tamanhos fora da especificação, reduzindo a superfície de ataque. Para o Google, a correção sugerida pelo pesquisador — checar o valor do cabeçalho WSP antes da conversão — é vista como o passo técnico imediato para fechar a brecha.
