O SMS da morte expõe a verdadeira falha do Android: patches lentos

Será que o escândalo é mesmo o bug, se a correção existe há semanas e ainda não chegou a muitos bolsos? O "SMS da morte" é uma praga desagradável, mas a história mais incômoda é quanto tempo os usuários de Android esperam pelo remédio.

Uma mensagem invisível pode deixar seu celular sem rede

O pesquisador de segurança Mark Blaszczyk publicou detalhes de uma falha, junto com uma prova de conceito, que permite que uma mensagem WAP Push especialmente criada derrube a parte do Android que cuida do serviço de celular. Segundo a Heise via Chip, a mensagem é invisível: nunca chega à caixa de entrada. Um aparelho afetado pode reiniciar a cada 90 segundos, mais ou menos, e oferecer a limpeza dos dados no modo de recuperação.

O Blogspan relata que o pesquisador avisou o Google em 5 de maio e que a correção cobre do Android 14 ao 17 a partir da atualização de outubro. O Android 12 e o 13, pelo que se informa, ficam sem nada. As chamadas de emergência também podem cair. Esse último detalhe transforma um incômodo em problema de segurança.

O bug é comum; a cadeia de entrega é a falha

A causa técnica é quase banal: um campo de tamanho convertido sem validação fica negativo, e o código não captura o erro resultante. Toda base de código grande tem bugs assim, arriscamos dizer. O que importa é o tempo entre "corrigido" e "instalado".

Como observa a imprensa alemã, a menos que você tenha um Pixel, pode levar semanas ou até meses para o fabricante distribuir os patches do Google. Essa é a fraqueza estrutural. O Google pode escrever a correção, mas não pode apertar o botão no seu Galaxy, no seu Xiaomi ou no que estiver no seu bolso. Enquanto isso, o código do exploit é público. Na nossa opinião, é essa combinação que merece alarme: uma receita publicada, um código-base já corrigido e uma longa fila de celulares deixados à própria sorte no meio do caminho.

Também convém manter a ameaça em proporção. É uma falha remota, não um roubo de dados, e nada do que lemos sugere exploração em massa. Mas um celular que perde as chamadas, o acesso à emergência e possivelmente seus dados (se você entrar em pânico e tocar em "Limpar dados") está longe de ser inofensivo. Causar transtorno também é uma arma, e parece barato de mirar.

Aparelhos antigos são os perdedores silenciosos

A frase mais dura é sobre o Android 12 e o 13. Esses aparelhos provavelmente continuarão vulneráveis, a menos que os fabricantes escrevam seus próprios patches. O Blogspan aponta uma consequência direta para celulares corporativos com essas versões: é um motivo para trocá-los. Nós iríamos além. Se uma mensagem de texto pode desativar um celular e o fabricante não corrige, esse aparelho deixou de ser um telefone confiável.

Há ainda um problema de verificação. O Blogspan observa que o número CVE citado pelo BleepingComputer não aparecia, em 1º de novembro, nos registros do MITRE e do NVD que ele consultou, e que o boletim de outubro do Google não nomeia a falha. A orientação de "outubro de 2026 ou mais recente" vem somente do pesquisador. Isso não a torna errada, mas significa que os usuários precisam confiar muito, o que já é uma falha de transparência.

Confira hoje a data do seu patch e depois os hábitos do seu fabricante

Verifique a data do seu patch de segurança: Configurações, Sobre o telefone, versão do Android (os menus variam conforme a marca). Se indicar outubro de 2026 ou posterior, você está protegido, segundo o pesquisador. Se não, instale qualquer atualização pendente e reinicie. Não espere a notificação automática.

Se o seu celular já estiver em loop, não toque em "Limpar dados". O pesquisador descreve um caminho de recuperação por um computador e pelo Android Debug Bridge, mas é um paliativo para quem tem familiaridade técnica, não um substituto da atualização.

Nosso veredicto: chega de tratar a velocidade das atualizações como nota de rodapé nas fichas técnicas. Ao comprar seu próximo Android, pergunte com que rapidez o fabricante libera os patches do Google e por quantos anos. Enquanto os fabricantes não forem cobrados por esse padrão, o próximo "SMS da morte" provavelmente encontrará a mesma longa fila de celulares sem correção.