Falha 'SMS of Death' permite derrubar chamadas e travar celulares Android com uma mensagem

Um pesquisador de segurança tornou pública na quinta-feira (29 de outubro de 2026) uma falha no Android apelidada de SMS of Death ("SMS da morte"). Ela permite que um invasor derrube o serviço de celular de um aparelho ou o faça travar à distância, apenas enviando uma mensagem de texto manipulada. Junto com a divulgação, ele publicou uma prova de conceito, um código que demonstra o ataque funcionando. A vulnerabilidade foi registrada como CVE-2026-58882.

Trata-se de uma falha zero-click, ou seja, que não exige nenhuma ação da vítima, como abrir a mensagem ou tocar em um link. Segundo o BleepingComputer, o Android processa o texto antes que ele chegue à caixa de entrada. Assim, a pessoa não vê remetente estranho nem notificação que explique o travamento.

Como o ataque funciona

O problema está em uma função do Android que lida com mensagens do tipo WAP Push, usadas para configurações e avisos enviados pela rede. Um valor de tamanho mal validado faz o sistema tentar reservar uma quantidade negativa de memória, o que provoca um erro e derruba o processo responsável pelas funções de telefonia. Com isso, a conexão móvel cai e chamadas em andamento são encerradas, inclusive ligações para serviços de emergência.

Os efeitos podem se repetir. Como o Android tenta processar de novo a mensagem guardada, e a operadora pode tentar reenviá-la, o travamento volta a acontecer. Nos testes do pesquisador, cerca de 20 mensagens bastaram para deixar aparelhos presos em ciclos de reinicialização. Em um celular com Android 12, o sistema reiniciava no modo de recuperação a cada 90 segundos, aproximadamente, e só voltou a funcionar após a restauração de fábrica. O Android Authority ressalta que nem essa medida resolve de vez se a operadora reenviar as mensagens. Um colaborador do GitHub identificado como Sakis encontrou uma forma de apagá-las pelo ADB, ferramenta de depuração do Android, mas o método exige um computador e conhecimento técnico.

De acordo com o Android Authority, o ataque foi reproduzido em aparelhos Google Pixel e Samsung Galaxy. O código vulnerável existe desde o Android 12. O pesquisador aparece como Mark Blaszczyk no Android Authority e como Mark Blah no BleepingComputer.

Correção e divergência de datas

Segundo o Android Authority, o pesquisador avisou o Google em 5 de maio, mas a empresa teria tratado o relato repetidas vezes como algo que não era um problema de segurança. Registros de código do próprio Android, porém, mostram uma correção criada em 15 de junho. O GrapheneOS, sistema alternativo baseado no Android, afirmou no X que o Google distribuiu o reparo a fabricantes em prévias de segurança em julho. O Google não explicou publicamente a discrepância.

As informações sobre quando a correção chega aos usuários não batem. O pesquisador diz que ela entrou nas atualizações de outubro para as versões 14 a 17, embora a falha não conste no boletim de segurança daquele mês. O GrapheneOS e o Android Authority apontam que ela está prevista no boletim de novembro, com classificação de gravidade crítica. Segundo o BleepingComputer, aparelhos com Android 12 e 13 não receberam o reparo. A correção trata o erro e apaga as mensagens maliciosas do banco de SMS.

A recomendação dos dois veículos é instalar a atualização de segurança mais recente disponível. Em geral, ela é baixada automaticamente, mas a liberação depende do fabricante e da operadora, e pode ser preciso reiniciar o celular para concluir a instalação. Quem usa um aparelho que não recebe mais atualizações pode continuar exposto. O Android Authority informou que pediu ao Google esclarecimentos sobre o cronograma do reparo.