Falha no Android pode derrubar ligações e travar celulares só com uma mensagem

Uma falha de segurança no Android, apelidada de “SMS da Morte”, permite que invasores derrubem o serviço de chamadas e travem celulares à distância, usando uma mensagem de texto maliciosa. De acordo com as informações divulgadas, o ataque não exige nenhuma ação da vítima: o SMS não aparece na caixa de entrada, não gera notificação e não precisa de clique.

A falha está presente desde o Android 12. Ao receber uma mensagem com formatação específica, o sistema que gerencia as chamadas trava, e as ligações em andamento são interrompidas, inclusive as feitas para serviços de emergência. O problema foi reproduzido em aparelhos Google Pixel e Samsung Galaxy.

O risco aumenta quando o sistema tenta processar a mensagem repetidamente. Segundo a descrição do caso, cerca de 20 SMS desse tipo podem deixar o smartphone praticamente inutilizável, em um ciclo contínuo de reinicializações conhecido como bootloop.

Restaurar as configurações de fábrica nem sempre resolve o problema. Se a operadora reenviar as mensagens maliciosas, o aparelho pode voltar a travar. Em alguns casos, é preciso conectar o celular a um computador e apagar manualmente o conteúdo malicioso, um procedimento considerado complexo para quem não tem conhecimentos técnicos.

O caso começou com o pesquisador de segurança Mark Blaszczyk, que comunicou a falha ao Google em 5 de maio. Segundo ele, a empresa recusou o relatório em diferentes ocasiões, alegando que a vulnerabilidade não representava um problema de segurança. Sem uma resposta considerada satisfatória, o pesquisador publicou uma demonstração do ataque na quinta-feira (29).

Registros do código do Android indicam, porém, que o Google desenvolveu uma correção para a falha em 15 de junho. O ajuste faz com que o sistema identifique o erro e descarte a mensagem problemática antes que ela cause danos.

Há versões diferentes sobre quando o reparo chegou aos aparelhos. Segundo a GrapheneOS, a correção apareceu em versões preliminares das atualizações de segurança em julho. Já Blaszczyk afirma que a falha foi incluída nos pacotes de segurança de outubro para as versões 14 a 17 do Android.

A vulnerabilidade recebeu o código CVE-2026-58882 e foi classificada com gravidade crítica. Ela deve constar formalmente no Boletim de Segurança do Android de novembro.

Embora os fabricantes recebam as correções antes da publicação dos boletins, a chegada do patch a cada celular depende do cronograma de atualização de cada empresa. Por isso, não há uma data única para o reparo em todos os aparelhos compatíveis.

A diferença entre as respostas enviadas ao pesquisador e o desenvolvimento interno da correção pode indicar uma falha de comunicação entre as equipes do Google, possivelmente ligada a um relatório duplicado.

Enquanto a correção não chega ao seu aparelho, a recomendação é instalar a atualização de segurança mais recente disponível para o celular, verificando se há algum pacote pendente nas configurações do sistema.