CVE-2026-58882

Nome do Software Vulnerável e Versões Afetadas Android versões 12 a 17

Description Um problema no framework de telefonia central do Android permite um ataque de negação de serviço remoto e zero-click. Um invasor pode enviar um SMS WAP Push especialmente criado de 8 bytes para a porta 2948, um formato antigo usado por redes para enviar configurações ou links. A falha ocorre durante o processamento do cabeçalho WSP, onde um valor de comprimento manipulado é lido como um uintvar e convertido para um int Java. Isso resulta em um valor negativo, disparando uma NegativeArraySizeException não tratada no processo com.android.phone.

Este travamento encerra imediatamente o serviço de chamadas, derrubando todas as ligações ativas, incluindo chamadas de emergência. Como a mensagem maliciosa permanece na fila do dispositivo e pode ser reenviada pela rede, o telefone pode entrar em um loop de reinicialização persistente, travando aproximadamente a cada 90 segundos. Cerca de 20 mensagens desse tipo podem tornar o dispositivo completamente inutilizável. O ataque é invisível, pois as mensagens não aparecem na caixa de entrada de SMS do usuário.

Recommendations Para as versões 14 a 17 do Android, instale as atualizações de segurança de outubro ou novembro de 2026. Para as versões 12 e 13 do Android, no momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade. Como mitigação temporária, os usuários podem mover o cartão SIM para um telefone não Android para limpar a fila de mensagens maliciosas ou usar o Android Debug Bridge (ADB) para excluir manualmente a mensagem na fila. Restrinja o uso de mensagens SMS binárias ou implemente a filtragem de mensagens WAP Push malformadas no nível da operadora, se possível.