SMS of Death: uma mensagem invisível pode bloquear o teu Android

Imagina que estás a meio de uma chamada e o telemóvel desliga-a sem explicação. Não aparece nenhuma mensagem nem número estranho, nada. É isto que faz o SMS of Death, uma falha no Android revelada na quinta-feira, 29 de outubro, que deixa qualquer pessoa cortar-te as chamadas só com o teu número. E o pior: o código para a explorar já anda na internet.

O que é o SMS of Death

A falha foi descoberta pelo investigador de segurança Mark Blaszczyk, que publicou todos os detalhes no site smsofdeath.com a 29 de outubro. Tem o código CVE-2026-58882 e a classificação de gravidade crítica.

O truque está num tipo de SMS antigo, o WAP Push. As operadoras usam-no para mandar instruções escondidas ao telemóvel, como as definições de MMS. Basta um valor de 5 bytes manipulado no cabeçalho de uma destas mensagens para o Android fazer mal uma conta. Resultado: o serviço que gere as chamadas (o com.android.phone) vai abaixo.

Segundo o investigador, o ataque tem três características que o tornam perigoso:

• Zero cliques: não tens de abrir nada nem tocar em nada;
• Invisível: a mensagem nunca aparece na app de Mensagens e não vês quem a enviou;
• Corta chamadas de emergência: a chamada em curso cai, mesmo que seja para o 112.

Porque é que uma SMS pode bloquear o telemóvel

Uma única mensagem deixa-te sem rede durante um ou dois segundos. Parece pouco, mas como o telemóvel não confirma que a recebeu, a operadora volta a enviá-la. Nos testes, uma só SMS causou falhas intermitentes durante até uma semana.

Com cerca de 20 mensagens, fica sério. Segundo a BleepingComputer, o Android tenta processá-las sempre que arranca, volta a falhar e acaba preso num ciclo. Num telemóvel com Android 12, o aparelho entrava no modo de recuperação a cada 90 segundos.

Há forma de resolver sem perder tudo, mas exige um computador e a ferramenta ADB. O próprio investigador avisa: se vires o ecrã de recuperação, não escolhas “Wipe data”, porque apagas o telemóvel inteiro.

Que telemóveis foram testados

O ataque funcionou em 100% das tentativas num Google Pixel 9 e em vários Samsung Galaxy, incluindo modelos da gama A. Ou seja, marcas e gamas que vês nas mãos de muita gente por cá.

Que versões do Android estão em risco

O código com o erro existe desde o Android 12. Segundo a Android Authority, a Google criou uma correção a 15 de junho e incluiu-a nas atualizações de outubro para o Android 14, 15, 16 e 17.

O mau da fita é o calendário:

• Android 14 a 17: protegido, se tiveres o patch de segurança de outubro de 2026 ou mais recente;
• Android 12 e 13: continua vulnerável, porque já não recebe atualizações;
• Samsung: a correção não aparece na lista do pacote de outubro no boletim de segurança da Samsung. Segundo a GrapheneOS, a falha deverá entrar no boletim de novembro da Google, por isso convém instalares a próxima atualização assim que chegar.

Há ainda um detalhe que não deixa a Google bem vista. O investigador avisou-a a 5 de maio e, segundo a heise, a Google chegou a fechar o pedido como “Will Not Fix” (não será corrigido). A GrapheneOS acredita que foi um erro interno e diz que a Google já tinha passado a correção aos fabricantes em julho, nas antevisões de segurança. Mesmo assim, o investigador acabou por tornar tudo público, com uma app de demonstração incluída.

E em Portugal, o que fazes?

Ninguém confirmou ainda ataques em Portugal. Também não sabemos se a MEO, a NOS, a Vodafone ou a DIGI filtram este tipo de SMS nas suas redes. Ainda não há informação sobre isso.

Entretanto, o que está nas tuas mãos é simples:

1. Vai a Definições > Segurança e privacidade > Atualizações (o nome muda um pouco de marca para marca);
2. Confirma a data do patch de segurança: tem de ser outubro de 2026 ou mais recente;
3. Instala o que houver pendente e reinicia o telemóvel.

Se o teu telemóvel ainda está no Android 12 ou 13 e já não recebe nada, a nossa opinião é direta: está na altura de pensar em trocar, sobretudo se for o telemóvel de um familiar mais velho. Um aparelho que pode ficar sem chamadas de emergência por causa de uma SMS não é um risco pequeno.

Se cuidas do telemóvel dos teus pais, aproveita e vê também as definições contra burlas que vale a pena ativar e a nova proteção contra burlas em chamadas no Android. E se tens má rede em casa, as chamadas Wi-Fi na MEO, NOS e DIGI são outra ajuda.

Perguntas frequentes sobre o SMS of Death

Como sei se o meu telemóvel está protegido contra o SMS of Death?

Vai a Definições > Segurança e privacidade > Atualizações e vê a data do patch de segurança. Se for de outubro de 2026 ou mais recente e tiveres Android 14 ou superior, estás protegido.

Se receber a SMS, vejo alguma coisa?

Não. A mensagem não aparece nas Mensagens e não vês quem a enviou. Só notas que a chamada cai e que o telemóvel fica sem rede um ou dois segundos.

O meu Android ficou preso a reiniciar. Faço reset de fábrica?

Não escolhas “Wipe data”. Dá para apagar só as mensagens maliciosas com um computador e o ADB, sem perderes os teus dados. Um reset pode nem chegar: se o telemóvel continuar sem a correção, a operadora pode voltar a entregar as mensagens.

Os Samsung já estão corrigidos?

Ainda não há confirmação. A correção não aparece no boletim de outubro da Samsung e deverá entrar no boletim de novembro da Google. Instala a próxima atualização logo que chegue.

Fontes: SMS of Death (Mark Blaszczyk), BleepingComputer, Android Authority, heise online, Samsung Mobile Security.