Uma única mensagem pode travar um celular Android — e Android 12 e 13 não receberão correção

Um pesquisador publicou um código de ataque funcional para uma falha no Android que permite que qualquer pessoa que saiba seu número trave seu celular com uma única mensagem de texto. Apelidada de “SMS da Morte”, a mensagem nunca aparece na caixa de entrada e não exige que você toque nela. Ela derruba o componente do Android responsável por chamadas e pelo sinal de celular, encerrando qualquer ligação em andamento, inclusive uma chamada para os serviços de emergência. O Google corrigiu a falha nas versões atuais do Android, mas celulares mais antigos que deixaram de receber atualizações de segurança continuarão vulneráveis.

Para a maioria das pessoas, a pergunta é simples: seu celular instalou a atualização de segurança mais recente? A falha está no código central de telefonia do Android, usado por todos os fabricantes, portanto não está ligada a uma marca específica. O pesquisador, que publica sob o nome Mark B, diz que conseguiu reproduzir o travamento todas as vezes em um Google Pixel e em vários celulares Samsung Galaxy, inclusive modelos mais baratos da linha A, que ainda não tinham recebido a correção.

O ataque explora o WAP Push, um formato antigo de mensagem que as operadoras usam para enviar configurações aos celulares em segundo plano. Uma mensagem malformada faz o Android tentar reservar uma quantidade negativa de memória, e o processo que gerencia chamadas e sinal trava. Cada mensagem deixa a vítima sem serviço por um ou dois segundos. O dano de verdade vem com a repetição. As operadoras continuam reenviando mensagens que o celular não confirmou ter recebido e, nos testes do pesquisador, uma única mensagem provocou interrupções intermitentes por até uma semana. Cerca de 20 mensagens deixaram um celular inutilizável.

As mensagens maliciosas também permanecem na fila e são processadas novamente a cada inicialização. Durante os testes, um celular com Android 12 reiniciou em modo de recuperação a cada 90 segundos, aproximadamente. Um usuário comum só conseguiria sair desse ciclo restaurando o aparelho às configurações de fábrica, o que apaga todos os dados. Um colaborador do projeto que usa o nome Sakis encontrou uma forma de apagar apenas as mensagens problemáticas, mas o procedimento exige um computador, as ferramentas de desenvolvimento do Android e rapidez para agir durante o breve intervalo após cada reinicialização.

O pesquisador relaciona a falha ao Triple Zero, número de emergência da Austrália, e aponta um efeito colateral curioso no país. As regras australianas exigem que as operadoras identifiquem celulares que não conseguem acessar os serviços de emergência e, depois de algum tempo, os desconectem. A Telstra diz que bloqueia esses aparelhos se nada mudar em até 28 dias. Na interpretação do pesquisador, um invasor capaz de impedir chamadas de emergência sempre que quiser poderia fazer com que o próprio celular da vítima fosse bloqueado na rede.

Há limites para o alarme. Trata-se de um ataque de negação de serviço, não de uma invasão: a mensagem não consegue ler seus dados, instalar nada nem assumir o controle do celular. O invasor precisa saber seu número e ter uma forma de enviar mensagens de dados brutos. A ferramenta publicada faz isso a partir de outro celular Android com um cartão SIM, o que deixa um registro na operadora. Até agora, nenhum relato público descreve o uso da falha contra pessoas reais. O boletim de segurança de outubro do Google também não menciona a correção, como observou o BleepingComputer; por isso, os donos de celulares mais antigos não receberam nenhum aviso oficial de que estão vulneráveis.

Para verificar, abra Configurações, acesse Sobre o telefone ou Segurança e confira a data da atualização de segurança do Android. Qualquer atualização de outubro de 2026 em diante inclui a correção. Samsung, Motorola, Xiaomi e outras fabricantes liberam atualizações em seus próprios cronogramas, e as operadoras podem atrasá-las. Assim, mesmo um celular com uma versão mais nova do Android pode estar esperando pela atualização. Para quem está preso ao Android 12 ou 13, a única proteção completa é trocar por um aparelho que ainda receba atualizações.

O pesquisador comunicou a falha ao programa de recompensas do Google para vulnerabilidades do Android em 5 de maio. Um engenheiro do Google escreveu a correção em meados de junho, e ela foi incluída na atualização de segurança de outubro de 2026 para o Android 14 ao 17. O relato público e a prova de conceito foram publicados em 29 de outubro. O Google não incluiu a verificação de comprimento proposta pelo pesquisador: a correção detecta o travamento e apaga a mensagem problemática para impedir que ela volte a ser acionada.

Isso deixa os celulares Android mais antigos em uma situação curiosa. Eles continuam fazendo chamadas normalmente. Só não dá para contar que conseguirão concluí-las.

Tags: Google, segurança cibernética, Android, Google Pixel, Samsung Galaxy, BleepingComputer