Uma falha no Android apelidada de "SMS da Morte" permite derrubar o serviço de ligações de um celular com o envio de uma única mensagem de texto, sem que o dono do aparelho precise tocar em nada. O caso foi divulgado na quinta-feira (29) pelo pesquisador de segurança Mark Blaszczyk, que publicou uma demonstração do ataque, segundo o Canaltech. A vulnerabilidade recebeu o código CVE-2026-58882, com gravidade classificada como crítica.
A mensagem maliciosa usa o formato WAP Push, um tipo de SMS de configuração, e não aparece na caixa de entrada, não gera notificação e não mostra remetente. De acordo com o Zigg, ela faz o processo de telefonia do Android cair em um ou dois segundos. Quem estiver em uma ligação perde a chamada, inclusive se for para um número de emergência. O pesquisador reproduziu o problema em um Pixel 9 e em modelos Samsung Galaxy, em versões do Android 12 ao 16.
O estrago aumenta porque o sistema tenta processar a mensagem de novo a cada reinício. Nos testes, um único SMS causou quedas intermitentes por até uma semana, e cerca de 20 mensagens deixaram o aparelho preso em um ciclo de reinicializações, o chamado bootloop. Segundo o Canaltech, nem a restauração de fábrica garante a recuperação se as mensagens forem reenviadas pela operadora.
Blaszczyk diz ter avisado o Google em 5 de maio e que a empresa não tratou o relato como problema de segurança. Mesmo assim, o código público do Android mostra uma correção escrita em 15 de junho, que descarta a mensagem defeituosa em vez de deixar o sistema travar. Ela foi aplicada ao Android 14, 15, 16 e 17. O Android 12 e o 13 ficaram sem o ajuste no código público. A falha deve constar oficialmente no boletim de segurança do Android de novembro. Até agora não há relato de ataques reais, mas o código de demonstração está disponível na internet.
A recomendação é instalar a atualização de segurança mais recente. A data aparece em Configurações, Sobre o dispositivo, Versão do Android, no item Atualização de segurança do Android. O pesquisador afirma que o pacote de outubro já traz a correção, mas o boletim oficial de outubro não cita a falha, por isso essa data é um bom sinal, mas não garante a proteção. Cada fabricante libera o patch no próprio ritmo.
Para as assistências técnicas da Santa Ifigênia, o caso pede atenção a celulares Android que chegam reiniciando sem parar. Segundo o Zigg, a opção Wipe data da tela de recuperação apaga todos os dados do cliente, enquanto o pesquisador descreve uma saída pelo computador, com a ferramenta ADB do Android SDK, que remove só as mensagens defeituosas. Quem vende aparelhos seminovos que pararam no Android 12 ou 13 também deve saber que esses modelos seguem expostos.
