Android: boletim de novembro corrige 216 falhas, incluindo RCE zero-click no FrameDecoder (CVE-2026-58868)

Quem administra frota Android, desenvolve para a plataforma ou mantém celulares corporativos deve olhar o nível de patch dos aparelhos agora. O boletim de segurança de novembro de 2026 do Android corrige 216 vulnerabilidades, 23 delas Críticas, e a Google diz estar ciente de exploração ativa de falhas do boletim. A mais grave é a CVE-2026-58868, que pode permitir execução remota de código sem interação do usuário no Android 14 a 17.

O que o boletim corrige

Segundo o Security Affairs, que resume o boletim da Google, o pacote inclui:

• CVE-2026-58868: heap buffer overflow na função onOutputReceived do FrameDecoder.cpp.
• CVE-2026-58876 e CVE-2026-58936: duas falhas de execução remota de código no componente System, também sem interação do usuário.
• Mais cinco falhas Críticas no System (três de escalonamento de privilégio e duas de negação de serviço) e uma falha Crítica de RCE no Framework.
• Seis falhas Críticas no kernel: duas em Bluetooth, três no pKVM (protected KVM) e uma em HID. A mais grave delas, segundo o boletim, permitiria a um atacante remoto obter privilégios elevados sem interação.
• Oito falhas Críticas no modem MediaTek.
• Uma falha Crítica em componente de código fechado da Qualcomm, a CVE-2026-25285. A Google não dá mais detalhes técnicos sobre ela.

Como funciona a CVE-2026-58868

O texto do boletim descreve uma possível escrita fora dos limites causada por heap buffer overflow em onOutputReceived, no FrameDecoder.cpp. Isso poderia levar a execução remota de código sem privilégios adicionais. Não é necessária interação do usuário, por isso o Security Affairs fala em potencial ataque zero-click.

O boletim não detalha o vetor de entrega. As fontes também não dizem quais falhas estão sendo exploradas. A frase da Google é genérica: ela afirma ter ciência de exploração ativa de falhas cobertas no boletim, sem apontar CVEs. Não dá para assumir que a CVE-2026-58868 é uma delas.

Modem MediaTek e componente Qualcomm

O boletim da Google lista oito falhas Críticas no modem MediaTek. O boletim da própria MediaTek detalha seis: CVE-2026-20499 e CVE-2026-20545 a CVE-2026-20549. A MediaTek as descreve como escritas fora dos limites causadas por falta de verificação de limites, overflow de inteiros ou validação inadequada de entrada. A empresa diz não ter conhecimento de exploração ativa dessas seis.

As correções de MediaTek e Qualcomm vêm no nível de patch 2026-11-05. As demais vêm no 2026-11-01 ou posterior.

CVE-2026-58882, o "SMS da Morte"

Outra falha Crítica do boletim é a CVE-2026-58882, apelidada de "SMS of Death". Ela está em decodeWapPdu, a função que processa mensagens WAP Push, um tipo de conteúdo entregue pela infraestrutura de SMS.

Segundo o Security Affairs, o atacante só precisa do número de telefone da vítima. A mensagem não aparece na caixa de SMS, então a vítima pode não ter nenhuma pista do que causou o problema.

Uma análise técnica publicada em 29 de outubro pelo pesquisador Mark B mostra que uma mensagem WAP Push malformada pode derrubar o com.android.phone, componente responsável pela telefonia. O travamento pode encerrar chamadas em andamento, inclusive de emergência. Segundo o relato, os testes em vários modelos reproduziram a falha de forma consistente. O Android tenta reprocessar a mensagem a cada inicialização, o que cria um loop de travamentos que continua até a mensagem ser removida.

Há uma ressalva importante. O boletim da Google e o registro do CVE apontam a função decodeWapPdu, mas nenhum confirma explicitamente que a CVE-2026-58882 é a mesma falha descrita no relatório de Mark B. As fontes tratam a sobreposição técnica como algo a investigar, não como identidade confirmada.

O que conferir

Primeiro, veja o nível de patch dos aparelhos. No próprio dispositivo, ele aparece em Configurações, na informação do sistema Android. Com adb, a propriedade padrão é:

adb shell getprop ro.build.version.security_patch

O resultado deve ser 2026-11-01 ou posterior para as correções gerais. Para cobrir as falhas de MediaTek e Qualcomm, o necessário é 2026-11-05 ou posterior.

Depois, considere estes pontos:

• A entrega depende de fabricantes e operadoras. Aparelhos de marcas diferentes vão receber o patch em datas diferentes. Verifique o calendário de cada fabricante na sua frota.
• O boletim cita Android 14 a 17 para a CVE-2026-58868. As fontes não informam o impacto em versões mais antigas, então não presuma que elas estejam seguras.
• Em ambiente corporativo com MDM, consulte o nível de patch reportado pelos dispositivos e marque os que estiverem abaixo de 2026-11-01. Priorize os que ficam em uso diário e atendem chamadas.
• Se um aparelho entrar em loop de travamento do app de telefonia, a análise do pesquisador aponta a mensagem WAP Push armazenada como causa. Esse caso exige atenção do suporte, pois o aparelho pode seguir travando até a mensagem ser removida.

Os indicadores técnicos e a análise completa estão nas fontes.

Fontes: Security Affairs