Ing. Calogero Bono
Uma única mensagem WAP Push manipulada pode travar a telefonia de um smartphone Android, interromper chamadas e, em alguns casos, provocar reinicializações contínuas. A falha se chama CVE-2026-58882 e foi tornada pública em 29 de outubro pelo pesquisador Mark Blaszczyk. Você não precisa abrir nada, e a correção do Google não cobre todas as versões. Para quem gerencia telefones corporativos, o assunto é concreto.
Alguns termos, antes de entrar nos fatos. CVE é o código que identifica de forma única uma vulnerabilidade conhecida. WAP Push é um tipo de mensagem que o sistema processa automaticamente e que pode não aparecer na caixa de SMS. Denial of service é um ataque que não rouba dados, mas impede o dispositivo de funcionar. Bootloop é o ciclo de reinicializações contínuas. ADB é a ferramenta de computador com a qual se conversa com um telefone Android.
O que é o SMS of Death e como funciona?
Segundo o DDay, a falha diz respeito ao tratamento das mensagens WAP Push, processadas diretamente pelo framework de telefonia do Android. Uma mensagem malformada faz travar o processo com.android.phone e o telefone perde por alguns instantes a rede celular.
Como relata o Punto Informatico, o cabeçalho alterado contém um valor negativo (-2.147.483.648) que, durante a alocação de memória, gera uma exceção. Tudo acontece antes de o SMS aparecer entre as mensagens, por isso a vítima não percebe nada de suspeito.
Que estragos pode causar uma única mensagem?
O travamento isolado dura alguns segundos, porque o Android reinicia o processo de telefonia. Se houver uma chamada naquele momento, ela cai, inclusive as chamadas para serviços de emergência.
O problema se repete se a operadora tentar entregar a mensagem novamente ou se o conteúdo permanecer na fila e for reprocessado. O HDblog informa que bastam 20 mensagens para desencadear um ciclo de reinicializações. Em um dispositivo com Android 12, o telefone entrou no modo de recuperação cerca de a cada 90 segundos.
Para voltar a usá-lo foi necessária a redefinição de fábrica. O pesquisador também descreveu um procedimento via ADB para eliminar as mensagens problemáticas, mas ele exige um computador e conhecimento técnico.
Há dados em risco?
Não, segundo o DDay. A vulnerabilidade não permite roubar senhas, fotos ou outros dados pessoais. Trata-se de um ataque do tipo denial of service, voltado à conectividade celular.
Ainda segundo o DDay, até o momento não foram identificadas campanhas em larga escala que a explorem. O pesquisador a comunicou ao Google em 5 de maio e publicou os detalhes em 29 de outubro, depois de reproduzir o ataque em Google Pixel e Samsung Galaxy.
Quem está protegido e quem continua exposto?
A correção, segundo a reconstrução do pesquisador, foi desenvolvida em junho e distribuída com as atualizações de outubro para Android da versão 14 à 17. Para os Pixel ainda suportados, o nível de correção é 5 de outubro de 2026.
O Android 12 e 13 contêm o código vulnerável, mas a correção não foi distribuída porque esses sistemas estão fora de suporte. Quem permanece nessas versões, sem atualizações do fabricante, está exposto. O Punto Informatico observa que a atualização alcançou poucos dispositivos. O quadro lembra os dados sobre a lenta difusão do Android 17.
Limites a conhecer
O código CVE-2026-58882 não aparece explicitamente no boletim de segurança do Android de outubro, que mesmo assim lista outras falhas de DoS do framework. A data da correção e a proteção dos dispositivos atualizados vêm da reconstrução do pesquisador, não de uma confirmação do Google nas fontes. Não sabemos quantos telefones estão realmente expostos nem se existem explorações direcionadas.
O que muda para quem trabalha com tecnologia digital
Para uma empresa que fornece telefones aos funcionários, o risco é a interrupção de chamadas e da disponibilidade, não o vazamento de dados. Convém saber quais modelos e versões do Android estão em uso. Os dispositivos com Android 12 ou 13 devem ser considerados expostos enquanto continuarem sem a correção. A gestão das atualizações não vale apenas para os telefones, a mesma disciplina serve para os sites, como explicamos ao falar de monitoramento das CVE.
Nossa opinião
O caso mostra o limite histórico do Android. A correção existe há meses, mas a vantagem de quem a desenvolve se perde se o fabricante não a distribui ou se o telefone está fora de suporte. Chama a atenção também que o identificador não conste no boletim de outubro, um detalhe que complica o trabalho de quem precisa verificar o estado dos próprios dispositivos. O risco é limitado, mas afetar as chamadas de emergência o torna sério.
Perguntas frequentes
Preciso abrir o SMS para ser atingido?
Não. A falha é acionada durante o processamento da mensagem pelo sistema. Não é preciso abri-la, tocar em links ou baixar anexos.
O SMS of Death rouba meus dados?
Não. Segundo o DDay, ele não permite roubar senhas, fotos ou dados pessoais. Ele visa impedir o funcionamento do telefone, sobretudo a conectividade celular.
Quais versões do Android estão protegidas?
Android 14, 15, 16 e 17 com a atualização de outubro, segundo o pesquisador. O Android 12 e 13 contêm o código vulnerável e não receberam a correção.
O que faço se o telefone entrar em bootloop?
A redefinição de fábrica funciona, mas apaga os dados. Como alternativa existe um procedimento via ADB para eliminar as mensagens problemáticas, que exige um computador e conhecimento técnico.
As chamadas de emergência também caem?
Sim. As fontes relatam que o travamento interrompe as chamadas em andamento, inclusive as para serviços de emergência. Cada travamento dura apenas alguns segundos.
O que observar nas próximas semanas sobre as atualizações do Android
A questão se decide nas atualizações que realmente chegam aos telefones. Vale acompanhar alguns sinais.
- Verifique se os telefones atualizados exibem o nível de correção de outubro ou posterior.
- Acompanhe se o Google inclui a CVE-2026-58882 nos boletins de segurança.
- Substitua ou isole os dispositivos com Android 12 e 13 que não recebem mais atualizações.
