O Google corrigiu uma falha crítica no Android que pode permitir a execução remota de código sem que o usuário toque na tela ou autorize qualquer ação. A vulnerabilidade, identificada como CVE-2026-58868, é o item mais grave do boletim de segurança de novembro de 2026, publicado em 2 de novembro.
O que é a falha CVE-2026-58868
A falha crítica no Android está no componente Framework do sistema. Um estouro de buffer (heap buffer overflow) na função onOutputReceived do arquivo FrameDecoder.cpp abre a brecha: esse código gera miniaturas e processa mídia, como fotos e vídeos. O Google classifica a vulnerabilidade como crítica porque ela pode levar à execução remota de código sem privilégios adicionais de execução e sem interação do usuário. A falha afeta aparelhos com Android 14, 15, 16, 16 QPR2 e 17.
O que o boletim de novembro corrige
O boletim de novembro corrige 216 vulnerabilidades, das quais 23 são classificadas como críticas. Entre elas estão outras duas falhas de execução remota de código no componente System, CVE-2026-58876 e CVE-2026-58936, ambas com nota 9,8 em 10 na escala CVSS. O mesmo boletim inclui ainda a falha apelidada de “SMS of Death” (CVE-2026-58882), que pode derrubar o serviço de telefonia do aparelho — tema que o Geekiki já cobriu em outra matéria. O Google afirma não ter conhecimento de exploração ativa dessas falhas, e não há prova de conceito pública conhecida.
Por que “zero-click” exige calma
O boletim não detalha como um invasor alcançaria o código vulnerável, e o termo “zero-click” não significa automaticamente que qualquer aparelho possa ser atingido pela internet. O código vulnerável processa mídia, então um ataque dependeria de o aparelho processar um arquivo malicioso — por exemplo, uma imagem ou um vídeo recebido. As proteções da plataforma Android e o Google Play Protect, segundo o Google, reduzem a probabilidade de uma exploração bem-sucedida. O Google prometeu publicar os patches de código-fonte no Android Open Source Project até 48 horas após a publicação do boletim, o que pode permitir que pesquisadores — e invasores — analisem a correção.
Quem está em risco e o que fazer
A correção para a falha crítica no Android está no nível de patch de segurança 2026-11-01 ou posterior, e o boletim completo exige o nível 2026-11-05. A liberação depende de cada fabricante e operadora, e aparelhos fora da janela de suporte podem nunca receber a atualização. O alerta maior é para aparelhos antigos: segundo dados de distribuição citados pelo Cybernews, 43,6% dos aparelhos Android ativos ainda rodam Android 13 ou versões anteriores, que já não recebem correções de segurança — esses aparelhos não receberão o patch.
Para verificar o nível do patch, acesse Configurações > Segurança e instale a atualização de novembro assim que ela estiver disponível para o seu aparelho. Se o seu aparelho já não recebe atualizações de segurança, considere a troca ou, ao menos, evite abrir mídias de remetentes desconhecidos e mantenha o Google Play Protect ativado.
Crédito da imagem: robô do Android, de Google / Irina Blok, via Wikimedia Commons (CC BY 3.0).
Fontes:
- Boletim de segurança do Android — novembro de 2026 (Google)
- Cybernews — Android zero-click flaw fixed, but many phones may miss patch
- Security Affairs — CVE-2026-58868: Critical Android Bug Could Let Attackers Run Remote Code
Transparência: esta matéria foi produzida com auxílio de inteligência artificial, com cruzamento de publicações públicas no X e de fontes da internet. Consulte sempre as fontes originais listadas acima.
Muse
