A atualização de novembro do Android corrige uma falha que nem precisa de um toque
A Google publicou o boletim de segurança do Android de novembro na segunda-feira, 2 de novembro, e a primeira entrada é das que contam: CVE-2026-58868, um transbordo de heap numa parte do Framework que descodifica fotogramas de vídeo. A Google classifica-a como crítica porque pode permitir a um atacante executar código remotamente num telemóvel, sem permissões adicionais e sem qualquer ação da sua parte. Afeta o Android 14, 15, 16 e 17. A Google não explicou como um atacante chegaria ao código defeituoso e, até quarta-feira, não havia notícia de ataques a explorá-la.
É uma de 216 correções, 23 delas críticas, incluindo duas no Bluetooth e uma série no código dos chips da MediaTek e da Qualcomm. O boletim também regista oficialmente a CVE-2026-58882, a falha "SMS of Death" de que falámos na segunda-feira. A correção já tinha sido distribuída discretamente em outubro e agora fica oficialmente registada.
Porquê a pressa, se ninguém a está a explorar? Porque, assim que uma correção se torna pública, os atacantes trabalham a partir dela até chegarem à falha. Esta semana, a empresa de segurança Sekoia descreveu uma campanha que atribui ao APT29, o grupo russo também conhecido como Midnight Blizzard, que colocou código de exploração em sites pirateados e em imitações de sites verdadeiros. Os telemóveis que os visitavam eram analisados e atacados automaticamente, sem ser preciso tocar em nada. Todas as falhas usadas já estavam corrigidas. As vítimas eram iPhones ainda no iOS 16.7 ou 18.5 e telemóveis Android com o Chrome nas versões 139 a 145, e os atacantes procuravam dados do WhatsApp e do Telegram, palavras-passe guardadas, fotografias e localização.
Por isso, abra as Definições, depois Acerca do telefone, e procure a data da atualização de segurança do Android. Precisa, no mínimo, de 2026-11-01, e 2026-11-05 cobre o boletim inteiro. Quem decide quando chega é o fabricante do telemóvel: se ainda não estiver disponível, volte a verificar na próxima semana e aproveite para atualizar o Chrome na Play Store. No PC, a verificação de atualizações do Tendvane e as atualizações de aplicações através do winget fazem o mesmo trabalho: mostram as correções que já existem mas ainda não foram instaladas.