Falha no Android permite travar celulares com SMS; Telegram corrige RCE via chamada
Destaques
- •Vulnerabilidade no Android, apelidada de 'SMS da Morte', permite travar smartphones remotamente com mensagens de texto maliciosas.
- •Falha no Telegram para Android permitia controle total do aparelho após vítima atender a uma chamada de voz.
- •Correções para ambas as falhas já foram desenvolvidas, mas a liberação para os usuários depende das fabricantes e das atualizações de cada aplicativo.
Uma vulnerabilidade no sistema operacional Android, apelidada de “SMS da Morte”, permite que invasores travem celulares remotamente com o envio de uma mensagem de texto maliciosa. O ataque explora um código vulnerável presente desde o Android 12 e pode deixar o smartphone praticamente inutilizável em um ciclo contínuo de reinicializações, conhecido como bootloop. A falha foi reproduzida em celulares Google Pixel e Samsung Galaxy.
O problema foi comunicado ao Google em 5 de maio pelo pesquisador de segurança Mark Blaszczyk. Inicialmente, a empresa rejeitou o relatório, mas posteriormente desenvolveu uma correção em 15 de junho, que identifica e exclui a mensagem problemática antes que ela cause danos. A vulnerabilidade, classificada com gravidade Crítica (CVE-2026-58882), foi corrigida nas atualizações de segurança de outubro para as versões 14 a 17 do Android. A liberação do patch para cada aparelho depende do cronograma de atualização de cada fabricante.
Falha no Telegram permitia RCE via chamada de voz
Paralelamente, uma falha de segurança no aplicativo Telegram para Android permitia que invasores obtivessem controle total de um telefone celular após a vítima atender a uma chamada de voz. A vulnerabilidade afetava versões do aplicativo lançadas entre março de 2022 e setembro deste ano.
O problema residia no código responsável por processar pacotes de dados durante chamadas telefônicas. A empresa de segurança NebuSec identificou que a falha poderia ser combinada com outras duas para romper as barreiras de proteção do aplicativo e alcançar o sistema operacional Android. O Telegram lançou a versão 12.10.4 do aplicativo para corrigir o erro, seguindo um padrão já adotado nas versões para computadores e iPhone.
Respostas e recomendações
A NebuSec informou que notificou o Telegram, mas a equipe inicialmente questionou a possibilidade de transformar a falha em um mecanismo de execução remota de código (RCE), o que levou à ausência de um identificador CVE oficial e de recompensa por bug. Especialistas não registraram incidentes reais de exploração dessa falha em ataques contra usuários comuns.
Para o caso do Android, a recomendação geral é instalar a atualização de segurança mais recente disponível para o celular. No caso do Telegram, usuários com versões anteriores a 12.10.4 devem atualizar o aplicativo imediatamente pela loja oficial. Como proteção temporária, alterar a configuração de privacidade de chamadas do Telegram para “Ninguém” impede a execução do ataque.
