Vulnerabilidade ‘SMS of Death’ no Android trava celular com uma única mensagem de texto

Uma vulnerabilidade recém-divulgada no Android tem nome de filme de terror, mas o estrago é bem real. Batizada de “SMS of Death”, a falha CVE-2026-58882 permite que um invasor trave o celular da vítima ou derrube chamadas, incluindo ligações de emergência, com uma única mensagem de texto. E o pior: o dono do aparelho não vê nada acontecer antes do apagão.

As descobertas foram publicadas pelo pesquisador de segurança Mark Blah depois que a correção já tinha sido liberada. O problema está na forma como o Android processa mensagens de texto antes mesmo de elas chegarem à caixa de entrada do SMS. Ou seja, o estrago acontece sem que o usuário precise tocar em nada.

O que a falha ‘sms of death’ causa no celular

O exploit explora uma brecha no processamento de mensagens SMS e pode fazer três coisas, dependendo da versão do sistema e da quantidade de mensagens enviadas. Num primeiro nível, uma única mensagem maliciosa já é suficiente para interromper chamadas de voz, incluindo ligações para emergências, e forçar o celular a reiniciar ou travar.

O cenário fica ainda pior quando o ataque se repete. Segundo a publicação do pesquisador, enviar 20 mensagens maliciosas pode fazer o aparelho entrar num ciclo infinito de reinicializações (boot loop). Num dispositivo de teste rodando Android 12, o celular reiniciava no modo de recuperação a cada 90 segundos. A única saída, nesse caso, era um factory reset.

Há ainda um agravante: mesmo depois de o ataque inicial passar, a operadora pode tentar reenviar a mensagem maliciosa, e o Android pode tentar processar de novo mensagens já armazenadas no aparelho. Isso faz o celular travar repetidamente sem que o dono entenda o que está acontecendo.

Quem está vulnerável à falha no Android

A Google corrigiu a CVE-2026-58882 no pacote de segurança de outubro de 2026. A correção vale para dispositivos rodando Android 14, 15, 16 e 17. O problema é que nem todo celular recebeu o patch ainda, como de costume com as atualizações de segurança fragmentadas do ecossistema Android.

Mais grave: os dispositivos que ainda rodam Android 12 e Android 13 não receberão a correção. Essas versões do sistema operacional ficaram de fora do patch, o que significa que milhões de celulares mais antigos continuam expostos. Para ter uma ideia do tamanho do problema, o Android 17, a versão mais nova do sistema, está em apenas 1% dos celulares ativos no mundo, o que mostra quantos aparelhos ainda rodam versões mais antigas e vulneráveis.

Como se proteger do ‘sms of death’

Se o seu celular roda Android 14 ou superior e já recebeu o patch de segurança de outubro de 2026, você está protegido. A atualização está sendo distribuída há semanas, mas a velocidade varia de fabricante para fabricante. Vale verificar nas configurações do sistema se há uma atualização pendente.

Para quem está com um aparelho rodando Android 12 ou 13, não há patch oficial. Mas existe um caminho alternativo, descoberto por um colaborador do GitHub identificado como Sakis: é possível remover as mensagens maliciosas usando o ADB (Android Debug Bridge), uma ferramenta de desenvolvimento que exige conhecimento técnico mais avançado e um computador.

Do ponto de vista prático, a recomendação mais realista para quem ainda está no Android 12 ou 13 é manter o celular atualizado dentro do possível e, em caso de travamentos suspeitos após receber um SMS, considerar a restauração de fábrica como último recurso.

📲 Segurança de Android muda o tempo todo, e uma brecha como essa mostra como é fácil levar um susto. Para não perder as atualizações que realmente importam, entra no Canal do TS no WhatsApp.

A CVE-2026-58882 é mais um lembrete de como a fragmentação do Android cria janelas de vulnerabilidade que duram anos. Enquanto os flagships mais recentes já estão seguros, uma legião de celulares de entrada e aparelhos mais velhos segue sem proteção, à mercê de um SMS que não pede licença para estragar o dia.

Fonte: Android Headlines