SMS da Morte trava Android: veja se o seu está seguro
Uma única mensagem SMS invisível derruba o serviço de telefone do Android, corta ligações, inclusive pra emergência, e com umas 20 mensagens deixa o celular em loop. A falha, chamada de SMS da Morte, foi corrigida na atualização de outubro. Veja como conferir o seu e o que fazer se o aparelho travar.
Uma mensagem que nem aparece na tela já basta pra derrubar a ligação que você está fazendo agora. É isso que faz a falha que o pesquisador Mark Blaszczyk apelidou de SMS da Morte e divulgou na quinta-feira (29). Ela atinge o Android desde a versão 12, funciona sem você tocar em nada e, com umas vinte mensagens seguidas, deixa o celular reiniciando sem parar.
O Google já corrigiu, mas só pra quem está no Android 14 ou mais novo e instalou a atualização de segurança de outubro. Como cada fabricante libera no seu ritmo, muita gente ainda está exposta. A boa notícia é que dá pra conferir em meio minuto, do mesmo jeito que a gente mostrou no caso da falha do Telegram que invadia o Android numa ligação.
Como uma mensagem invisível derruba o celular
Todo Android ainda entende um tipo antigo de SMS chamado WAP Push, da época em que operadora mandava configuração de internet por mensagem. Quem cuida disso é uma parte do sistema de telefonia, e foi ali que Blaszczyk achou o problema. Segundo a página que ele publicou sobre a falha, o código lê o tamanho de um cabeçalho da mensagem e converte esse número sem checar se ele cabe. Com cinco bytes bem escolhidos, o tamanho vira um número negativo, o sistema tenta reservar memória com esse valor e o processo do telefone, o com.android.phone, cai na hora.
Só que ele cai em silêncio. A mensagem chega como SMS de dados, então nada aparece no app de mensagens e o número de quem mandou nunca é mostrado. Pra quem está com o celular na mão, parece só que o sinal sumiu por um ou dois segundos. Se você estava numa ligação, ela acaba, e isso vale até pra chamada de emergência.
O pior vem depois. Como o celular não confirma o recebimento, a operadora entende que a mensagem não chegou e manda de novo. Nos testes do pesquisador, uma única mensagem causou quedas intermitentes por até uma semana. Com umas vinte, o aparelho fica inutilizável: o SMS envenenado fica guardado na fila e é processado de novo a cada boot, e aí o próprio Android, depois de várias quedas, joga o celular na tela de recuperação mais ou menos a cada 90 segundos.
Ele reproduziu o ataque num Pixel 9 e em vários Galaxy, incluindo modelos da linha A, com 100% de sucesso. E tem um agravante: o código de prova de conceito está público no GitHub, com aplicativo pronto. O autor avisa que só deve ser usado em aparelho próprio, mas o fato é que a receita já está na rua.
O Google não tratou como falha de segurança
Blaszczyk diz que avisou o Google em 5 de maio, já mandando a correção sugerida. A empresa não classificou o problema como vulnerabilidade de segurança. Mesmo assim, um engenheiro do Android escreveu um ajuste em 15 de junho, e esse código entrou no repositório oficial em 5 de agosto, como mostra o commit 735d967 no AOSP, descrito literalmente como correção de um “DoS remoto”.
A correção entrou na atualização de segurança de outubro de 2026, pro Android 14, 15, 16 e 17, segundo o pesquisador. O detalhe é que a falha ainda não aparece no boletim de segurança de outubro, e o código CVE-2026-58882 que circula na imprensa ainda não foi publicado no catálogo oficial de CVEs. A expectativa é que o Google liste o problema no boletim de novembro. O GrapheneOS, sistema focado em privacidade pra Pixel, diz que já tinha o ajuste desde as prévias de julho. Já quem está no Android 12 ou 13 roda o mesmo código e não vai receber nada, porque essas versões saíram da janela de atualização.
No Hacker News, onde o assunto rendeu quase 200 comentários, a pergunta mais repetida foi como algo assim pôde levar um “não vamos corrigir”. Teve também quem duvidasse que as operadoras deixem passar uma mensagem dessas, o que faz sentido: alguma rede pode filtrar, mas o pesquisador diz que testou em operadoras reais e o ataque funcionou.
Como ver se o seu Android já está protegido
O que importa aqui é a data do patch de segurança, não a versão do Android. Faça assim:
- Abra Configurações e procure por “atualização de segurança” ou “nível do patch de segurança”. No Pixel fica em Segurança e privacidade, Sistema e atualizações. No Galaxy, em Sobre o telefone, Informações do software.
- Se a data for 1º de outubro de 2026 ou mais nova, você está protegido contra o SMS da Morte.
- Se for mais antiga, vá em Configurações, Sistema ou Atualização de software, e toque em procurar atualização. Instale assim que aparecer.
- Se o seu celular está no Android 12 ou 13 e não recebe mais atualização, ele vai continuar vulnerável. Aí vale considerar uma ROM alternativa com suporte, como a gente explicou no texto sobre o LineageOS 24, ou começar a pensar em quando trocar de celular.
Fique atento a um detalhe: a atualização de outubro sai aos poucos. Samsung, Motorola, Xiaomi e companhia liberam por modelo, por país e às vezes por operadora, então pode ser que o seu ainda não tenha recebido mesmo procurando. Vale checar de novo nos próximos dias.
E se o celular entrar em loop?
Se o aparelho começar a reiniciar sozinho e cair numa tela pedindo pra tentar de novo ou apagar os dados, não escolha “Wipe data” ou “Apagar dados”. Isso resolve, mas leva tudo junto. Um usuário que passou pelo loop no Android 12, identificado como @sakisdog, documentou um caminho menos destrutivo: as mensagens envenenadas ficam numa fila interna do sistema, e dá pra apagar só elas pelo ADB, a ferramenta de depuração do Android, no intervalo curto depois que o celular liga.
O problema é que isso exige computador, depuração USB ativada antes do problema e um pouco de familiaridade com linha de comando. Se você é do tipo que gosta de deixar o celular preparado pra emergência, um cabo de dados decente faz diferença nessas horas. O cabo Anker USB para USB-C de 1,8 m estava R$ 65,53 na Amazon quando conferi e serve tanto pro ADB quanto pra backup. Pra quem não tem essa intimidade, o melhor caminho é a assistência técnica, avisando que é um loop causado por SMS e que os dados não devem ser apagados.
Enquanto a atualização não chega, não há configuração no Android que bloqueie o WAP Push de forma simples. Desligar o celular resolve só enquanto ele está desligado, e trocar de chip não adianta se a mensagem já está na fila. Por isso a atualização é o que manda.
Aproveite que vai mexer nisso pra revisar outra coisa que depende de SMS: o código de confirmação das suas contas. Se o seu número já é peça central da sua segurança, vale ler por que trocar o código por SMS por um app autenticador. Qual a data do patch do seu celular aí?
Imagem de capa: destaque da página de divulgação da falha SMS of Death, do pesquisador Mark Blaszczyk, via smsofdeath.com
Ao se inscrever você concorda com a Política de Privacidade. Dá pra sair a qualquer momento.
DicaLimitar a carga do celular em 80% vale a pena?iPhone, Samsung e Pixel já deixam você travar a carga em 80%. A química diz que ajuda, mas os testes de um ano com iPhone mostram ganho pequeno. O que pesa de verdade na saúde da bateria, onde fica a opção em cada celular e quem deve ligar.
GuiaComo instalar APK no Android com a nova regraDesde 30 de setembro o Brasil é um dos 4 países onde o Google já exige desenvolvedor verificado pra instalar apps no Android. Entenda o que mudou, o que ainda funciona e o passo a passo do Instalar mesmo assim.
DicaPendrive falso: como testar a capacidade realUm especialista em segurança comprou 12 pendrives baratos de 1 e 2 TB e todos eram falsos; um de "2 TB" tinha 62 GB. Como o golpe funciona, os programas grátis que mostram a capacidade real (ValiDrive, H2testw e f3) e o que fazer se o seu for um deles.
GuiaComo tirar anúncios da Android TV de graçaO CleanYourTV (ex tv-vibehack) remove anúncios e bloat da Android TV ou Google TV pelo Wi-Fi, sem root, e troca a home por um launcher estilo Apple TV. Reversível em um comando.
Comentários (0)
Para comentar, entre ou crie sua conta.