Uma falha crítica no Android pode permitir que um invasor execute código remotamente em um celular, sem qualquer ação do usuário, segundo o boletim de segurança de novembro do Google.
A vulnerabilidade, identificada como
CVE-2026-58868
, afeta as versões do Android da 14 à 17. A correção está incluída nos dispositivos com nível do patch de segurança 2026-11-01 ou posterior. Fabricantes de celulares e operadoras distribuem as atualizações em cronogramas próprios.
Até 4 de novembro, o boletim do Google não indicava ataques que explorassem as falhas listadas. Na atualização de 3 de novembro, nenhuma delas constava no catálogo Known Exploited Vulnerabilities (KEV), mantido pela Cybersecurity and Infrastructure Security Agency (CISA).
A falha pode causar uma escrita fora dos limites devido a um estouro de buffer na memória heap, na função onOutputReceived do arquivo FrameDecoder.cpp. Nem o boletim nem o registro da CVE explicam como um invasor poderia alcançar esse trecho do código.
A classificação crítica do Google considera a possibilidade de as proteções integradas ao Android e aos serviços da empresa estarem desativadas ou serem contornadas.
Versões mais antigas, como o Android 12 e o 13, não aparecem como afetadas. Os registros do Google não informam se elas contêm a falha.
Como verificar seu celular
A página de ajuda do Google indica estas etapas:
1. Abra o aplicativo Configurações.
2. Toque em Sobre o dispositivo ou Sobre o tablet e, em seguida, em Versão do Android.
3. Localize as datas da atualização de segurança do Android e da atualização do sistema do Google Play.
A data da atualização de segurança do Android corresponde ao nível do patch de segurança do celular. A versão 2026-11-01 ou posterior corrige a
CVE-2026-58868
e as demais falhas nos componentes Framework, System e Android Runtime.
Já a versão 2026-11-05 ou posterior corrige todas as falhas do boletim de novembro, incluindo as que afetam o kernel e componentes da Arm, Imagination Technologies, MediaTek, Unisoc e Qualcomm.
O Google define dois níveis de patch para permitir que os fabricantes distribuam mais rapidamente um conjunto de correções comum a todos os dispositivos Android. A empresa recomenda que eles incluam todas as correções do boletim.
Celulares com Android 10 ou posterior também podem receber algumas correções por meio das atualizações do sistema do Google Play. A lista deste mês inclui outra falha crítica, a
CVE-2026-58876
.
A
CVE-2026-58868
não aparece nessa lista. Por isso, a data relevante para verificar se o celular recebeu a correção é a da atualização de segurança do Android.
O boletim não apresenta uma solução temporária para celulares que ainda não possam instalar a atualização.
Falha de negação de serviço remota no código de mensagens de texto do Android
Outra falha crítica, a CVE-2026-58882, pode permitir um ataque remoto de negação de serviço sem interação do usuário, segundo o registro da CVE. Ela está na função decodeWapPdu, parte do código do Android que processa mensagens WAP Push recebidas por SMS.
Em 29 de outubro, um pesquisador que assina como Mark B publicou uma análise intitulada “SMS of Death” sobre um bug na mesma função. Nem o boletim nem o registro da CVE esclarecem se a CVE-2026-58882 corresponde à falha descrita pelo pesquisador.
Segundo a análise, uma mensagem WAP Push malformada faz o processo com.android.phone travar e encerra qualquer chamada em andamento, inclusive ligações de emergência. Nos testes realizados em vários modelos de celular, o travamento ocorreu todas as vezes.
O invasor precisa apenas do número de telefone do alvo, e a mensagem não aparece na caixa de entrada. O celular tenta processá-la novamente sempre que é iniciado e pode voltar a travar durante a inicialização até que a mensagem seja removida.
Um aplicativo de prova de conceito capaz de enviar esse tipo de mensagem de um celular para outro está disponível publicamente. Segundo o pesquisador, celulares com Android 12 e 13 executam o mesmo código, mas não recebem a correção fornecida às versões mais recentes.
Outras falhas críticas
O boletim de novembro do Google lista 216 vulnerabilidades, das quais 23 foram classificadas como críticas. Outras duas falhas críticas podem permitir a execução remota de código:
CVE-2026-58876
e
CVE-2026-58936
, ambas no componente System do Android.
Seis falhas críticas afetam o kernel, duas delas no código de Bluetooth. A mais grave pode permitir que um invasor remoto obtenha privilégios elevados sem interação do usuário.
O nível do patch 2026-11-05 também corrige falhas críticas no código de modem da MediaTek e em um componente de código fechado da Qualcomm. Em seu boletim de novembro, a MediaTek descreve as falhas críticas de modem como escritas fora dos limites e afirma não ter conhecimento de exploração ativa.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...