Em 29 de outubro de 2026, o pesquisador de segurança Mark Blaszczyk divulgou uma falha no processamento de mensagens WAP Push do Android. Um SMS de dados malformado pode derrubar o processo de telefonia antes de a mensagem aparecer na caixa de entrada. Uma alteração no código do Android trata a exceção e remove o registro que poderia provocar novas falhas.
Como a mensagem interrompe a telefonia
WAP Push é um tipo de SMS de dados que o Android processa automaticamente. Segundo Blaszczyk, a falha ocorre em WapPushOverSms.decodeWapPdu(): um valor do cabeçalho convertido sem validação de limites pode resultar em um tamanho de matriz negativo e gerar uma exceção. O processo com.android.phone então falha, interrompendo o serviço móvel e podendo derrubar chamadas ativas, inclusive de emergência. Blaszczyk descreve a falha e os testes.
O efeito relatado é uma interrupção da telefonia, não uma avaria permanente no aparelho. Blaszczyk mediu de um a dois segundos sem serviço por falha e relatou que a operadora pode reenviar a mensagem, provocando novas quedas. Em seus testes, uma única mensagem causou interrupções intermitentes por até uma semana; são resultados do pesquisador, não uma medida universal.
O que a alteração no AOSP faz
O commit 735d967 do Android Open Source Project (AOSP), o projeto de código aberto do Android, captura exceções RuntimeException durante a decodificação WAP Push e a transmissão do SMS. Quando o processamento falha, o código exclui do banco de dados bruto o registro problemático, para evitar um ciclo persistente de travamentos. O commit do AOSP descreve essa correção.
O registro indica que a alteração foi escrita em 15 de junho e incorporada em 5 de agosto de 2026. A divulgação pública de Blaszczyk veio em 29 de outubro.
Versões testadas e alcance relatado da correção
Blaszczyk relata ter reproduzido a falha no Android 12 a 16. Segundo o pesquisador, a atualização de segurança de outubro de 2026 corrigiu o problema no Android 14 a 17; o Android 12 e o 13 ficaram fora do escopo oficial de correção que ele informou. Esse relato não significa que todos os aparelhos dessas versões receberam a atualização.
O boletim de segurança do Google de outubro diz que o nível de patch 2026-10-01 ou superior corrige os problemas listados para esse nível. O documento inclui o CVE-2026-58865, classificado como uma falha crítica de negação de serviço no Framework, mas não o identifica como o problema de WAP Push. O boletim de segurança do Android e o commit do AOSP não relacionam explicitamente esse CVE à falha divulgada por Blaszczyk.
