Falha 'SMS da Morte' derruba ligações no Android sem o usuário clicar em nada
Vulnerabilidade batizada de CVE-2026-58882 permite travar celulares Android à distância com uma sequência de SMS maliciosos, sem qualquer ação da vítima.
Por Denise Sampaio · Repórter de Segurança
O que aconteceu
Uma vulnerabilidade batizada de "SMS da Morte" e catalogada como CVE-2026-58882 permite que um invasor trave a função de chamadas de um celular Android só sabendo o número da vítima — sem ela clicar em nada. A falha foi descoberta pelo pesquisador de segurança Mark Blaszczyk, que reportou o problema ao programa de recompensas da Google (Android & Devices VRP) em maio deste ano; os detalhes técnicos só se tornaram públicos em 29 de outubro.
O problema está na função que decodifica mensagens do tipo WAP Push, um formato de SMS usado para notificações automáticas, como as de operadoras. O Android lê o tamanho do cabeçalho dessa mensagem como um número longo e o converte para um formato mais curto sem checar o valor. Uma sequência específica de 5 bytes gera um número negativo que quebra o processo responsável pelas chamadas, o com.android.phone, e derruba o serviço. Segundo os pesquisadores, cerca de 20 mensagens desse tipo bastam para deixar o aparelho em loop de reinicializações, já que a mensagem maliciosa fica na fila e trava o sistema de novo a cada boot.
Foto: reprodução/cybersecuritynews.com
Quem é afetado
A falha foi confirmada em aparelhos com Android 12 a 16, incluindo Google Pixel (testado no Pixel 9) e a linha Galaxy A da Samsung, com 100% de taxa de reprodução nos testes dos pesquisadores. Como o ataque depende só do número de telefone — não exige clique, link ou app instalado —, qualquer usuário dessas versões está potencialmente exposto.
O que fazer agora
O status da correção ainda é incerto: a Google teria incluído um ajuste nos pacotes de segurança de outubro, mas pesquisadores dizem que o problema persiste em parte e que a empresa chegou a classificar o caso como de baixo risco. Até a situação se esclarecer, o caminho mais seguro é:
- Manter o Android sempre atualizado com os pacotes de segurança mais recentes.
- Se o aparelho começar a reiniciar sem parar, não insistir em usá-lo normalmente — buscar ajuda para remover as mensagens via computador (ADB) antes de considerar um reset de fábrica.
- Pressionar a operadora: filtrar esse padrão específico de SMS na rede impede que a mensagem chegue ao aparelho antes mesmo de causar o travamento.