Um pesquisador de segurança publicou uma prova de conceito, um código que demonstra na prática como explorar uma falha recente do Android. Batizada de "SMS of Death" e identificada como CVE-2026-58882, a falha permite que um atacante, a distância, derrube o sinal do celular ou faça o aparelho travar apenas enviando uma mensagem de texto especialmente montada.

O problema é do tipo zero-click, ou seja, não exige nenhuma ação da vítima: ela não precisa abrir a mensagem nem clicar em nada. Pior, o Android processa esse SMS antes de ele chegar à caixa de entrada, então a pessoa não vê nada que explique a queda do aparelho. Chamadas em andamento podem ser interrompidas, inclusive ligações para serviços de emergência.

Segundo o pesquisador Mark Blah, o Google teria corrigido a falha nas atualizações de segurança de outubro de 2026 para o Android 14 até o 17. Ela, porém, não aparece no boletim de segurança do Google desse mês, e aparelhos com Android 12 e 13 continuam vulneráveis, pois não receberam a correção. Na prática, quem usa uma versão antiga e não tem como atualizar fica exposto.

A falha está no tratamento de um valor de tamanho dentro de uma mensagem WAP Push, que é um formato usado para enviar conteúdo por SMS. Quando o Android não confere esse valor corretamente, ele tenta reservar uma quantidade de memória negativa, o que faz o processo do telefone responsável pela parte celular travar. Como esse processo cuida da conexão móvel, a queda afeta o sinal e as chamadas. Segundo o pesquisador, enviar 20 mensagens maliciosas pode deixar o aparelho preso em um ciclo de reinicializações; em um dos testes, o celular reiniciava no modo de recuperação cerca de a cada 90 segundos e exigiu restauração de fábrica.

Um colaborador do GitHub encontrou uma forma de apagar essas mensagens usando o Android Debug Bridge (ADB), mas o processo exige conhecimento técnico avançado e um computador. A correção do Google impede os travamentos ao capturar os erros gerados no processamento dessas mensagens e também remove as mensagens maliciosas do banco de dados de SMS.

O que fazer: a fonte recomenda fortemente que os usuários Android instalem as atualizações de segurança mais recentes assim que possível. Essas atualizações costumam chegar automaticamente, mas a disponibilidade depende do fabricante e da operadora, e pode ser preciso reiniciar o aparelho para concluir a instalação. Quem não consegue atualizar deve seguir as orientações oficiais do fabricante e manter o sistema atualizado.