O Google publicou em 2 de novembro de 2026 o boletim de segurança do Android de novembro. Ele traz uma falha crítica no Framework que permite executar código no celular à distância sem nenhum toque da vítima (CVE-2026-58868) e coloca oficialmente na lista uma falha que ficou conhecida como "SMS of Death" (CVE-2026-58882): uma mensagem de dados basta para derrubar a função de telefone do aparelho. O boletim não aponta nenhuma das falhas como explorada em ataques reais.
Por que importa para você: em empresa pequena, o Android é onde mora o WhatsApp Business, o aplicativo do banco, a autenticação em duas etapas e, muitas vezes, a maquininha. Um celular que reinicia sem parar ou perde a linha no meio do dia tira a empresa do ar. E a correção só chega quando a fabricante do aparelho libera a atualização.
O que o boletim corrige
O boletim de novembro tem dois níveis de correção. O de 2026-11-01 cobre Framework, System, Runtime e as atualizações do sistema pelo Google Play. O de 2026-11-05 cobre tudo isso e ainda o kernel e os componentes de Arm, Imagination, MediaTek, Unisoc e Qualcomm. Nas palavras do Google, aparelhos com nível 2026-11-05 ou posterior estão corrigidos para todos os problemas listados.
Entre as falhas críticas estão:
- CVE-2026-58868, no Framework: execução remota de código, sem interação do usuário, nas versões 14, 15, 16 e 17 do Android;
- CVE-2026-58882, no System: negação de serviço crítica, o "SMS of Death";
- duas falhas de execução remota (CVE-2026-58876 e CVE-2026-58936) e três de elevação de privilégio no System;
- falhas críticas no Bluetooth e no HID do kernel e oito falhas críticas no modem da MediaTek.
As tabelas do boletim vão do Android 14 ao 17. Não há menção ao Android 12 nem ao 13.
O que é o "SMS of Death"
Segundo o BleepingComputer, que deu o apelido em 31 de outubro, a falha é acionada por uma mensagem WAP Push malformada, de 8 bytes, enviada como SMS de dados. Ela derruba o serviço de telefone do Android, o que pode cortar chamadas, inclusive de emergência. Com cerca de 20 mensagens, o aparelho entra em reinício contínuo; em um teste com Android 12, foi preciso restaurar o celular de fábrica. O código que demonstra o ataque é público, mas a reportagem não fala em uso real.
O portal diz ainda que a correção já tinha entrado nas atualizações de outubro do Android 14 ao 17, sem constar no boletim daquele mês. A novidade agora é a falha aparecer oficialmente, como crítica.
O que fazer agora
- Confira o nível de segurança. Em Configurações, procure "Sobre o telefone" ou "Atualização de software" e veja a data do patch de segurança do Android. O objetivo é chegar a 2026-11-05.
- Instale o que estiver disponível. Mesmo que ainda seja o patch de outubro, ele já corrige o "SMS of Death" no Android 14 ao 17, segundo o BleepingComputer.
- Ligue a atualização automática nos celulares da equipe e combine um dia para alguém conferir.
- Faça a lista dos aparelhos antigos. Celular preso no Android 12 ou 13 não aparece no boletim. Se ele cuida do WhatsApp da empresa, do banco ou dos códigos de acesso, vale planejar a troca.
- Tenha um plano B para o WhatsApp Business. Se o aparelho principal parar, saiba como acessar a conta em outro aparelho sem perder o atendimento.
O que ainda não se sabe
- Se as falhas já são usadas em ataques reais. O boletim não indica exploração.
- Quando Samsung, Motorola, Xiaomi e outras fabricantes vão liberar o patch de novembro no Brasil.
- Se o Android 12 e o 13 continuam vulneráveis ao "SMS of Death". A informação vem do pesquisador, via BleepingComputer; o Google não fala dessas versões.
- O boletim dos celulares Pixel de novembro ainda não tinha saído na manhã de 3 de novembro.
Onde a Oneck entra
A frente de Software & Sistemas da Oneck Creative ajuda empresas a organizar os aparelhos e sistemas que sustentam o atendimento, com inventário, rotina de atualização e caminho de contingência quando algo para. Desde 2004, mais de 2.000 clientes passaram pela Oneck. Se ninguém sabe dizer em que versão estão os celulares da sua equipe, fale com a gente pelo WhatsApp ou conheça a Software & Sistemas da Oneck Creative.
Fontes: Android Security Bulletin, novembro de 2026; Android: índice dos boletins de segurança; Android: boletins dos Pixel; BleepingComputer: new Android "SMS of Death" exploit can remotely crash unpatched phones (31/10/2026).