'SMS da Morte' derruba ligações e trava celulares Android sem você clicar em nada

Uma vulnerabilidade no Android, apelidada de “SMS da Morte”, permite que invasores derrubem o serviço de chamadas e travem celulares remotamente com o envio de uma mensagem de texto maliciosa. O ataque acontece sem que a vítima perceba, pois o SMS não aparece na caixa de entrada, não gera notificações e não exige nenhum clique para comprometer o aparelho.

A falha explora um código vulnerável presente desde o Android 12. Ao receber uma mensagem especialmente formatada, o sistema responsável pelo gerenciamento de chamadas telefônicas trava. Com isso, ligações em andamento são interrompidas, inclusive chamadas para serviços de emergência. O problema foi reproduzido em celulares Google Pixel e Samsung Galaxy.

O risco aumenta quando o Android tenta processar a mensagem maliciosa repetidamente. Cerca de 20 SMS desse tipo podem deixar o smartphone praticamente inutilizável, em um ciclo contínuo de reinicializações, conhecido como bootloop.

Nem mesmo a restauração das configurações de fábrica garante a recuperação do aparelho caso a operadora reenvie as mensagens. Em algumas situações, o usuário precisa conectar o celular a um computador e apagar manualmente o conteúdo malicioso, um procedimento pouco acessível para quem não tem conhecimentos técnicos.

Google desenvolveu correção, mas negou falha de segurança

O pesquisador de segurança Mark Blaszczyk comunicou o problema ao Google em 5 de maio. Segundo ele, a empresa rejeitou o relatório em diferentes ocasiões, sob a justificativa de que a vulnerabilidade não representava um problema de segurança. Diante da falta de uma resposta satisfatória, o especialista decidiu divulgar o caso e publicou uma demonstração do ataque em 29 de outubro.

Apesar das negativas, os registros de código do Android mostram que o Google desenvolveu uma correção para a falha em 15 de junho. O ajuste faz com que o sistema identifique o erro e exclua a mensagem problemática antes que ela provoque danos.

Segundo a GrapheneOS, a correção chegou a versões preliminares das atualizações de segurança em julho. Já Mark Blaszczyk informou que a falha foi contemplada nos pacotes de segurança de outubro para as versões 14 a 17 do Android. A vulnerabilidade, que foi identificada pelo código CVE-2026-58882 e classificada com gravidade Crítica, deve aparecer formalmente no Boletim de Segurança do Android de novembro.

Embora as fabricantes recebam as correções antes da publicação dos boletins de segurança, a liberação do patch para cada aparelho depende do cronograma de atualização de cada empresa. Por isso, não há uma previsão única para a chegada do reparo aos celulares compatíveis.

A diferença entre as respostas enviadas ao pesquisador e o desenvolvimento interno do patch pode indicar uma falha de comunicação entre as equipes do Google, possivelmente relacionada a um relatório duplicado. Enquanto isso, a recomendação para os usuários é instalar a atualização de segurança mais recente disponível para o celular.

Se você gostou do conteúdo, talvez também se interesse por conferir “Golpe da Mão Fantasma: O que é e como proteger seu celular do acesso remoto”.