Celulares Android – Uma vulnerabilidade de alta gravidade identificada como CVE-2026-21385 está sendo explorada ativamente em celulares Android equipados com chips da Qualcomm. O problema recebeu nota 7,8 no Sistema de Pontuação de Vulnerabilidade Comum (CVSS) e afeta um componente gráfico de código aberto amplamente utilizado nesses aparelhos.
A falha permite leitura indevida de memória, o que abre caminho para que atacantes tenham acesso a dados sensíveis armazenados no dispositivo da vítima sem necessidade de qualquer interação. Informações como tokens de autenticação de aplicativos, sessões ativas e outros dados privados podem ser expostos caso a exploração seja bem-sucedida.
LEIA: Imposto de Renda 2026: veja quais documentos reunir para a declaração
A correção foi incluída no boletim de segurança do Android de março de 2026. Além da CVE-2026-21385, o pacote também resolve a CVE-2026-0006, classificada como crítica por permitir execução remota de código no componente System sem qualquer privilégio adicional.
O que está quebrado
O componente afetado é responsável por cálculos que determinam quanto espaço na memória do aparelho será reservado para armazenar temporariamente dados visuais processados pelo sistema.
O problema resulta da combinação de dois erros. O primeiro é um estouro de inteiro (integer overflow), situação em que um cálculo ultrapassa o valor máximo que o sistema consegue representar, fazendo com que o número “dê a volta” e recomece do zero. Com isso, o programa passa a trabalhar com valores incorretos sem detectar a inconsistência.
O segundo erro decorre diretamente do primeiro: com os valores equivocados, o componente passa a ler regiões da memória além do limite permitido, em um comportamento técnico conhecido como buffer overread. Na prática, isso significa que áreas protegidas da memória podem ser acessadas indevidamente.
Exploração limitada e direcionada
A empresa confirmou que a CVE-2026-21385 já está sendo explorada ativamente e descreveu o cenário como de “exploração limitada e direcionada”. A expressão não indica baixo risco, mas sim que a falha não estava sendo usada de forma massiva e indiscriminada até a publicação do boletim.
Esse padrão sugere atuação de grupos sofisticados que escolhem alvos específicos, prática comum em operações de espionagem digital, no uso de ferramentas de vigilância comercial ou em ações conduzidas por atores interessados em comprometer dispositivos de pessoas determinadas.
Não foram divulgados detalhes técnicos sobre os responsáveis pelos ataques nem sobre as vítimas identificadas.
Linha do tempo da correção
A equipe de segurança do Android descobriu e reportou a vulnerabilidade à Qualcomm em 18 de dezembro de 2025. A fabricante de chipsets, conhecida pela linha Snapdragon, notificou seus clientes — fabricantes como Samsung, Motorola e Xiaomi — em 2 de fevereiro de 2026.
A correção foi disponibilizada ao público no boletim de segurança de março de 2026, que contempla patches para 129 vulnerabilidades no total. O código corrigido também será publicado no repositório AOSP (Android Open Source Project) nas 48 horas seguintes à divulgação oficial, permitindo que fabricantes e desenvolvedores integrem as atualizações em suas versões do sistema.
Outra ameaça no mesmo pacote
O mesmo boletim corrige ainda a CVE-2026-0006, considerada ainda mais severa. A falha está localizada no componente System, núcleo do Android responsável por gerenciar as funções fundamentais do sistema operacional.
Essa vulnerabilidade permite execução remota de código, o que significa que um atacante poderia fazer o dispositivo executar comandos arbitrários a partir de qualquer lugar do mundo, pela internet, sem que a vítima precise clicar em links, abrir arquivos ou conceder permissões.
As duas falhas, CVE-2026-21385 e CVE-2026-0006, foram corrigidas na atualização de março de 2026, com o código-fonte ajustado sendo disponibilizado no AOSP em até 48 horas após a publicação do boletim.
(Com informações de Tecmundo)
(Foto: Reprodução/Freepik
