Falha “SMS of Death” no Android pode derrubar chamadas sem nenhum toque

O pesquisador independente Mark Blaszczyk divulgou em 29 de outubro de 2026 uma falha no Android que ele apelidou de “SMS of Death”. Segundo a divulgação, uma única mensagem malformada, enviada como SMS de dados, pode derrubar o serviço de chamadas de um celular vulnerável sem que a vítima precise abrir nada, tocar em um link ou fazer qualquer ação. A informação é classificada aqui como RELATO DO PESQUISADOR, confirmado em parte por cobertura independente: os testes são do próprio pesquisador, e o cronograma exato da correção ainda é disputado, como explicado abaixo.

A falha está no componente WapPushOverSms, parte da estrutura de telefonia do Android que processa mensagens WAP Push — um formato antigo de SMS de dados usado, por exemplo, para notificações de operadora e de mensagens multimídia. Ao decodificar uma mensagem, o código lê o tamanho declarado do cabeçalho e o converte para um inteiro de 32 bits com sinal sem verificar adequadamente o intervalo. O valor resultante pode ficar negativo e, ao tentar alocar memória com esse tamanho, o Android gera uma exceção que derruba o processo com.android.phone, responsável pelas chamadas e pela conexão celular.

O que acontece na prática

Como a mensagem é processada antes de chegar ao aplicativo de mensagens, ela não aparece na caixa de entrada, não gera notificação visível e não mostra o número do remetente, segundo o pesquisador. Cada queda interrompe o serviço por cerca de um a dois segundos, enquanto o processo reinicia — o suficiente para derrubar uma chamada em andamento, inclusive uma chamada de emergência. Como as operadoras podem reenviar mensagens não confirmadas, a interrupção pode se repetir. Nos testes do pesquisador, cerca de 20 mensagens foram suficientes para deixar o aparelho praticamente inutilizável por um período prolongado, preso em um ciclo de reinício.

Blaszczyk afirma ter reproduzido a falha em todas as tentativas em um Pixel 9 e em vários celulares Samsung Galaxy, incluindo modelos da linha A, com Android 12 a 16. O código vulnerável remonta pelo menos ao Android 12, segundo a cobertura. É importante delimitar o impacto: trata-se de uma falha de negação de serviço, ou seja, de disponibilidade. Não há evidência, na divulgação, de que ela roube dados, senhas ou fotos, nem de que assuma o controle do aparelho, e não há ataques confirmados em ambiente real até agora.

Quem está protegido — e onde há divergência

Segundo o pesquisador, uma correção existe no Android Open Source Project desde junho de 2026 e teria chegado às atualizações de outubro de 2026 para Android 14 a 17, mas não para Android 12 e 13, que estão fora da janela de atualizações de segurança. Aqui há um ponto em disputa que o leitor deve conhecer: o CVE identificado na cobertura como CVE-2026-58882, com classificação Crítica segundo o Android Authority, não aparece no boletim de segurança de outubro de 2026 do Google. O Android Authority e o projeto GrapheneOS indicam que o CVE deve aparecer no boletim de novembro, e que a correção já havia circulado em prévias de segurança para fabricantes em julho. O pesquisador também relata que o Google classificou inicialmente o seu relato, enviado em 5 de maio de 2026, como um problema sem caráter de segurança.

Na prática, isso significa duas coisas. Primeiro, mesmo um celular com Android 14 ou mais recente só está protegido se tiver instalado a atualização que inclui a correção — a versão do sistema, sozinha, não basta. Segundo, aparelhos presos ao Android 12 ou 13 podem continuar expostos. Pelos dados de distribuição do Google citados pela cobertura, o Android 12 responde por 9,6% e o Android 13 por 11,8% dos aparelhos ativos, cerca de um em cada cinco no total. Esse número conta versões do sistema, não níveis de patch, então não é uma medida exata de quantos aparelhos estão vulneráveis neste momento.

O que fazer agora

Instale a atualização de sistema mais recente oferecida pelo seu aparelho e verifique o nível do patch de segurança em Configurações. Não presuma que o patch de outubro, por si só, já inclui esta correção, dada a divergência de cronograma descrita acima — vale conferir novamente quando o boletim de novembro for publicado. Se o aparelho entrar em um ciclo de reinício, procure o suporte oficial do fabricante em vez de tentar apagar dados por conta própria.

Fontes

Crédito da imagem: logotipo do Android, imagem: Google, via AndroidPure.

Transparência: esta matéria foi elaborada com auxílio de inteligência artificial, a partir do cruzamento de fontes públicas da internet listadas acima, incluindo relatos de publicações no X citados pela cobertura. Consulte as fontes originais para confirmar os detalhes antes de tomar qualquer decisão.

— Muse