Falha “SMS of Death” pode derrubar celulares Android sem que o usuário toque no aparelho
Uma vulnerabilidade no sistema de telefonia do Android permite interromper o sinal e as chamadas de um celular por meio de uma mensagem enviada ao número da vítima. Batizada de “SMS of Death” e identificada como CVE-2026-58882, a falha foi divulgada em 29 de outubro de 2026. Em casos mais graves, o aparelho pode entrar em um ciclo de reinicializações e acabar solicitando uma restauração de fábrica.
O ataque não depende de a pessoa abrir uma mensagem ou clicar em qualquer conteúdo. A notificação maliciosa sequer precisa aparecer na caixa de entrada: ela é processada automaticamente pelo sistema, em segundo plano. Por isso, basta que o invasor conheça o número do telefone.
Como a mensagem provoca a falha
A vulnerabilidade explora o WAP Push, formato de SMS binário utilizado pelas operadoras para transmitir instruções diretamente ao celular. Esse mecanismo pode ser empregado, por exemplo, no envio de avisos relacionados a MMS ou de configurações de rede.
Segundo a análise técnica do alerta da SolusThreat, o problema está no tratamento do tamanho do cabeçalho da mensagem. Um valor de 64 bits é convertido para 32 bits sem uma validação adequada. Nesse processo, o número 2.147.483.648 se transforma em um valor negativo, provocando o encerramento forçado do processo de telefonia. O pacote usado no ataque tem apenas oito bytes.
Quando o serviço de telefonia falha, o dispositivo pode ficar sem sinal por um ou dois segundos, e uma ligação em andamento é interrompida. O risco inclui chamadas de emergência para números como 190, 192 e 193.
Por que o celular pode reiniciar sem parar
O aparelho trava antes de confirmar que recebeu a mensagem. Como resultado, a operadora pode enviá-la novamente, mantendo o conteúdo na fila para novo processamento após cada inicialização. A repetição transforma uma falha momentânea em um problema persistente.
Com cerca de 20 mensagens, o mecanismo de proteção RescueParty pode direcionar o telefone ao modo de recuperação em aproximadamente 90 segundos. Nessa etapa, o sistema pode sugerir a restauração de fábrica, que normalmente apaga os dados armazenados no aparelho.
O pesquisador Mark Blaszczyk comunicou a vulnerabilidade ao Google em 5 de maio de 2026. A solicitação foi inicialmente classificada pelo programa de recompensas como um problema que não envolvia segurança. Depois, a equipe do Android preparou uma correção, enviada aos fabricantes em julho e disponibilizada aos usuários no pacote de segurança de outubro.
Quais versões do Android estão vulneráveis
A proteção está disponível em celulares que instalaram a atualização de segurança de outubro de 2026 ou uma versão posterior. Aparelhos com Android 14, 15, 16 ou 17 e um pacote anterior a esse mês devem ser considerados vulneráveis até receberem a correção.
O alerta também aponta que dispositivos com Android 12 ou 13 continuam expostos e não têm uma atualização corretiva prevista. Para esses modelos, a recomendação é planejar a substituição. iPhones não são afetados, pois a falha está relacionada ao sistema de telefonia do Android.
Medidas para usuários
A primeira providência é verificar as atualizações do aparelho e instalar a versão de outubro de 2026 ou uma mais recente assim que estiver disponível. O caminho até essa opção varia conforme o fabricante, mas costuma ficar nas configurações, na área de atualização do sistema.
Também é prudente manter uma cópia de segurança dos dados na nuvem ou em um computador. Esse cuidado reduz o risco de perda de fotos, contatos e documentos caso o telefone precise ser recuperado ou substituído.
Como o ataque pode interromper o recebimento de SMS, vale trocar códigos enviados por mensagem de texto por um aplicativo autenticador nas contas de bancos e e-mail, quando essa opção estiver disponível. Isso diminui a dependência do serviço telefônico para confirmar acessos importantes.
Pessoas que precisam do celular como único meio de contato em situações de emergência – incluindo idosos e trabalhadores em locais isolados – podem considerar manter um segundo aparelho atualizado. A medida é especialmente relevante quando a indisponibilidade temporária do telefone representa um risco à segurança.
Se o celular começar a reiniciar repetidamente, a orientação é buscar assistência técnica antes de restaurá-lo às configurações de fábrica. De acordo com o alerta, pode haver uma forma de recuperação por computador, sem apagar os dados, realizada logo após o aparelho ligar. A operadora também deve ser informada sobre o ocorrido.
Recomendações para empresas e operadoras
Organizações podem usar ferramentas de gestão de dispositivos móveis (MDM) para exigir, nos celulares corporativos, uma atualização de segurança igual ou posterior à de outubro de 2026. A prioridade deve ser dada a equipes de campo, profissionais de sobreaviso e funcionários responsáveis por segurança.
Operadoras e outros provedores de redes móveis podem avaliar a filtragem, na própria rede, do tipo de mensagem WAP Push usado na exploração. Essa barreira pode ajudar a reduzir a exposição enquanto os dispositivos recebem a correção.
Interromper ou prejudicar serviço telefônico pode configurar crime conforme o artigo 266 do Código Penal. O alerta ressalva ainda que a vulnerabilidade deve ser incluída no boletim oficial do Google em novembro de 2026.