Zero click, silent, remote Android DoS
Uma vulnerabilidade Android divulgada recentemente permite que um único SMS WAP Push malformado derrube repetidamente o processo do sistema de telefonia, desconectando chamadas ativas (inclusive emergenciais) sem interação do usuário e potencialmente deixando os aparelhos incapazes de fazer chamadas até que o SIM seja movido para outro aparelho. Comentaristas debatem quão sério esse risco de negação de serviço é na prática, quão facilmente tais mensagens podem ser enviadas em redes reais e se operadoras ou estações-base falsas poderiam explorar isso em escala. Boa parte da conversa também critica o texto promocional “hipado” gerado por IA e a triagem inicial do Google como “won’t fix”, observando que o Google מאז atribuiu um CVE e lançou um patch (já incorporado pelo GrapheneOS) após o que parece ter sido uma falha de comunicação interna.
Vulnerabilidade e impacto
- Dados SMS de WAP Push malformados (por exemplo, para a porta 2948) podem derrubar o
com.android.phonedo Android, desconectando chamadas, incluindo chamadas de emergência, sem interação do usuário ou mensagem visível. - Entregas repetidas podem corromper um banco de dados SQLite interno de SMS/telefonia, fazendo o processo do telefone falhar em toda inicialização. O dispositivo efetivamente perde a capacidade de telefonia enquanto o Wi‑Fi continua funcionando.
- A recuperação descrita é: mover o perfil SIM/eSIM para um dispositivo não Android (para que as mensagens pendentes sejam ACKed), depois limpar o banco de dados corrompido (por exemplo, apagar
telephony.db) ou restaurar de fábrica. Para eSIM isso é muito mais difícil. - Alguns questionam se o SQLite deveria corromper a partir de uma falha no meio da escrita; outros afirmam ter observado corrupção do banco de dados na prática.
Explorabilidade e papel das operadoras
- Um APK PoC é fornecido para enviar o SMS malformado de um dispositivo para qualquer número de telefone alvo; não é necessário comprometimento local da vítima.
- Vários comentaristas com experiência dizem que tipos de SMS não visíveis ao usuário (WAP Push, silent SMS, configuração de APN, indicadores de caixa postal) são reais e muitas vezes não são filtrados.
- Outros estão céticos: não está claro se mensagens WAP Push arbitrariamente malformadas podem atravessar todas as redes de operadoras, ou se algumas redes já as filtram ou descartam.
- Cenários discutidos: assédio pessoal (por exemplo, contra um ex), interrupção/supressão direcionada, ou ataques combinados com IMSI catchers / torres falsificadas.
Severidade, resposta do Google e correção
- Há debate sobre a severidade: alguns veem isso como um “DoS temporário” e algo menor; outros ressaltam que desativar remotamente as chamadas de emergência é um problema sério de segurança.
- O Google inicialmente classificou o relatório como “won’t fix” / “não é um problema de segurança”, provavelmente por meio de um triador da linha de frente. Isso gerou críticas e foi enquadrado como parte de um declínio mais amplo de qualidade e da sobrecarga do VRP.
- Comentários posteriores observam que o Google de fato se comprometeu com uma correção em junho, a entregou por meio de patches de prévia de segurança em julho e ela aparecerá no Boletim de Segurança Android de novembro de 2026 como CVE‑2026‑58882 (Crítico). O encerramento anterior é atribuído a falha de comunicação interna/tratamento duplicado.
- Um fork endurecido do Android relata ter enviado a correção meses antes e confirma que seus próprios usuários não são afetados.
Texto gerado por IA e debate sobre “slop”
- Muitos comentários se concentram no tom gerado por IA da página de apresentação: “hypeslop”, linguagem de marketing excessivamente dramática e formulações características.
- Alguns argumentam que o polimento por IA obscurece a clareza técnica e prejudica a credibilidade; outros defendem usar LLMs para layout/texto, já que o bug e o PoC são reais.
- Há uma discussão meta sobre o HN dar upvote a sites de vulnerabilidades gerados por IA apesar das queixas generalizadas sobre “AI slop”.