Vulnerabilidade 'SMS da Morte' trava celulares Android remotamente
Um SMS malformado, sem nenhuma ação do usuário, derruba o processo de telefonia do Android e pode deixar o aparelho em reinicializações contínuas.
Pontos principais
- A vulnerabilidade, catalogada como CVE-2026-58882, afeta do Android 12 ao 17.
- Um único SMS WAP Push malformado basta, sem clique da vítima, e não aparece na caixa de entrada nem mostra o número do remetente.
- Chamadas em andamento caem, inclusive as de emergência.
- A falha foi reproduzida em 100% dos testes do pesquisador, em Pixel 9 com firmware de abril de 2026 e em vários Samsung Galaxy.
- Cerca de 20 mensagens podem inutilizar o aparelho por longo período.
- A recuperação exige um computador com ADB para apagar as mensagens da fila.
- A correção de outubro de 2026 vale para o Android 14 a 17; Android 12 e 13 não a recebem.
Uma falha crítica no Android, apelidada de “SMS da Morte”, permite derrubar o celular de alguém sem que a pessoa faça nada, bastando o número da vítima. A mensagem maliciosa chega como SMS de dados, invisível para o usuário, e faz o processo de telefonia travar ao ser processada. Como ela fica na fila e é reprocessada a cada inicialização, o aparelho pode travar ao ligar até que a mensagem seja apagada, e a operadora pode reenviá-la e repetir o problema.
O pesquisador Mark Blaszczyk informou a falha ao programa de recompensas do Google em 5 de maio. Segundo ele, a empresa rejeitou o relatório como problema de segurança, mas desenvolveu uma correção em 15 de junho. Em 29 de outubro, Blaszczyk publicou um relato técnico e a prova de conceito.
A correção entrou no pacote de segurança de outubro para o Android 14 a 17, mas não é a que ele propôs. Em vez de validar o tamanho do cabeçalho, o Google amplia a exceção capturada e apaga a mensagem que causou a falha, segundo Blaszczyk. A vulnerabilidade foi catalogada sob o identificador CVE-2026-58882.