Falhou de dia zero na Qualcomm ameaça Android e Google emite adesivos para 129 vulnerabilidades

O Google publicou um pacote de adesivos de segurança para Android que corrige 129 vulnerabilidades, incluindo um erro de dia zero que já parece estar sendo aproveitado em ataques direcionados e que afeta um componente de visualização em chips Qualcomm. Você pode consultar o boletim oficial do Google com detalhes das correções na página de segurança Android: Android Security Bulletin (2026-03-01).

Em seu aviso, o Google adverte que existem sinais de exploração limitada e direcionada do falha identificado como CVE-2026-21385, sem oferecer mais detalhes sobre as campanhas concretas. Quando um fabricante indica possível exploração ativa, a recomendação imediata é priorizar a atualização; esse aviso não deve ser tomado a leve porque costuma indicar que atores maliciosos já encontraram uma forma prática de aproveitar a vulnerabilidade.

Qualcomm, por sua vez, publicou uma notificação técnica onde descreve o problema como um transbordamento ou "wraparound" de inteiros na subcomponente gráfica, um erro que pode levar à corrupção de memória se for manipulado corretamente por um atacante local. O comunicado técnico da Qualcomm, com mais contexto e a lista de chips afetados, está disponível aqui: Qualcomm Security Bulletin — março 2026, e o registo do acordo no repositório de código aberto que o corrige pode ser consultado no commit público: commit de correcção. O aviso da Qualcomm indica que o defeito impacta mais de duzentos modelos de chipset, um número que enfatiza o alcance potencial da ameaça.

Para quem quiser ver a ficha técnica da falha em bases de dados de vulnerabilidades, existe um registro na base de dados nacional de vulnerabilidades dos EUA. EUA. : CVE-2026-21385 — NVD. Essa entrada é útil para administradores que priorizam adesivos segundo o CVSS e outros metadados.

Além do problema na Qualcomm, o Google arreglou este mês dez vulnerabilidades qualificadas como críticas em componentes como System, Framework e Kernel, que podem permitir desde execução remota de código até escalada de privilégios ou recusa de serviço. Em alguns casos, o Google afirma que a exploração não exige interação do usuário, o que aumenta o risco porque um dispositivo vulnerável pode ser comprometido sem que seu proprietário clique em nada. O Google publicou dois níveis de adesivo: o correspondente a 2026-03-01 e uma segunda entrega com nível 2026-03-05, sendo esta última a que inclui, além disso, correções para componentes de terceiros e partes do kernel fechadas — isto é, elementos que nem sempre aplicam de igual forma em todos os modelos de dispositivos. Os detalhes de ambas as entregas estão nas secções dedicadas do boletim: 2026-03-01 e 2026-03-05.

É importante lembrar que, embora o Google publica os adesivos imediatamente, a chegada da atualização ao seu telefone depende do fabricante e do operador. Os móveis Pixel costumam receber os adesivos diretamente e rápido, mas outros fabricantes precisam de tempo para integrar e validar as correções com seu hardware, por isso há atrasos que podem durar dias ou semanas. Para as empresas e os utilizadores com dispositivos críticos, isto torna a gestão de adesivos numa tarefa prioritária e, muitas vezes, num risco operacional se não estiver a funcionar rapidamente.

O que significa tecnicamente um "integer overflow" (desbordamento de inteiro) neste contexto? De forma simples, ocorre quando uma operação aritmética excede a capacidade do tipo de dado reservado para um valor e o resultado se envolve ou cai fora dos limites esperados. Em software de baixo nível, especialmente em controladores gráficos ou kernel, esse comportamento pode corromper a memória e permitir que o código não autorizado seja executado ou que o sistema se torne instável. No caso relatado, a Qualcomm indica que a vulnerabilidade pode ser explorada de forma local para conseguir corrupção de memória, o que abre a porta a ataques mais complexos.

O Google já corrigiu falhas semelhantes em meses anteriores: em dezembro do ano passado, dois zero dias de alta gravidade também mostraram sinais de exploração direcionados, o que mostra uma tendência preocupante: os atacantes continuam encontrando e usando vulnerabilidades em componentes de sistema e drivers antes que os adesivos cheguem a todos os dispositivos.

Se você tem um telefone Android, o sensato é verificar imediatamente se existem atualizações disponíveis nos ajustes do sistema e aplicá-las. Actualizar o sistema operacional e os sistemas de segurança é a defesa mais eficaz contra este tipo de erros conhecidos. Se o seu dispositivo ainda não mostrar o adesivo, consulte a página de suporte do fabricante ou o fórum de atualizações para o seu modelo e considera medidas de mitigação enquanto: evita instalar aplicativos fora de lojas oficiais, limita as permissões de apps com acesso a funções sensíveis e realiza cópias de segurança regulares de seus dados importantes.

Para administradores de TI e responsáveis pela segurança, convém identificar primeiro os dispositivos com chipsets Qualcomm afetados e priorizar seu adesivo, além de monitorar os logs em busca de sinais de exploração e manter as soluções EDR/antimalware atualizadas. Em ambientes corporativos, a coordenação com fornecedores e a aplicação de sistemas de manutenção controlados reduzirá a exposição sem interromper operações críticas.

Por último, embora nesta ocasião a informação pública sobre campanhas concretas seja limitada, a convergência de um aviso do Google e o boletim da Qualcomm e a presença do CVE em bases como a NVD facilitam a avaliação do risco e o planejamento de mitigações. Se você quiser aprofundar as fontes originais, verifique o boletim Android mencionado acima e o aviso técnico da Qualcomm, contendo os dados formais e as listas de componentes afetadas: Android Security Bulletin, Qualcomm March 2026 Bulletin e a entrada da vulnerabilidade na NVD: CVE-2026-21385 — NVD. Manter-se informado e aplicar as atualizações é, hoje, a melhor prática para manter seu dispositivo a salvo.