Em 2 de novembro de 2026, o Google publicou o boletim de segurança do Android de novembro. Ele corrige 216 vulnerabilidades, 23 delas críticas e 193 altas. A pior é uma falha no componente Framework que permite a um atacante executar código num celular remotamente, sem nenhum toque do dono e sem privilégios extras. O que você precisa fazer hoje é simples: peça a cada funcionário que abre o e-mail da empresa, o WhatsApp Business ou um app de banco num celular Android que instale a atualização e confira se a data de «Atualização de segurança do Android» em Configurações mostra 5 de novembro de 2026 ou posterior. Um celular com Android 13 ou anterior não vai receber essa correção, porque o boletim cobre apenas as versões 14 a 17.
O que exatamente o Google corrigiu?
Segundo o boletim de segurança do Android de novembro de 2026, as correções vêm em dois níveis. O nível de 1 de novembro cobre 119 vulnerabilidades, 8 delas críticas, em partes centrais do sistema como Framework, System e o ambiente de execução. O nível de 5 de novembro cobre 97 vulnerabilidades, 15 delas críticas, no kernel Linux (31 falhas) e em componentes de fabricantes de chips: MediaTek (30), Qualcomm (17 entre partes abertas e fechadas), Imagination (12), Unisoc (4) e Arm (3). Um celular no nível de 5 de novembro está protegido contra as falhas dos dois níveis.
O Google afirma que a falha mais grave (CVE-2026-58868) pode levar à execução remota de código sem privilégios de execução adicionais e sem interação do usuário. A seção System traz mais duas falhas críticas do mesmo tipo (CVE-2026-58876 e CVE-2026-58936), além de três falhas críticas de elevação de privilégios.
Uma mensagem que derruba a ligação: a falha WAP Push
Entre as falhas críticas está um bug de negação de serviço (CVE-2026-58882). O relatório da CyberInsider explica que uma única mensagem WAP Push malformada basta para derrubar o processo de telefone do Android, encerrando as chamadas ativas, inclusive as de emergência, sem que a mensagem apareça na caixa de entrada nem que o destinatário abra nada. Pior: mensagens repetidas podem provocar a falha de novo mesmo depois de reiniciar. A parte tranquilizadora: o relatório não encontrou exploração real até agora. Mas o código de prova de conceito é público, o que significa que o intervalo entre a divulgação e os ataques pode ser curto.
Imagine um vendedor ou um entregador que vive no celular o dia inteiro, e cujas ligações caem toda vez que chega uma mensagem que ele nunca vê. Não é um vazamento de dados, mas é o trabalho parando.
Quando a atualização chega aos celulares Samsung?
A Samsung publicou sua versão de manutenção de segurança de novembro de 2026 em 3 de novembro. Ela inclui as correções do Google e quatro patches da Samsung Semiconductor, e diz que acrescenta 24 itens específicos do Galaxy. Mas um boletim publicado não significa que todo aparelho recebe a atualização no mesmo dia: ela é liberada em ondas por modelo e região, e alguns modelos mais antigos recebem atualizações de segurança a cada três meses em vez de todo mês. Então não se contente com «você atualizou?». Peça a data que aparece em Configurações.
5 passos para os celulares da sua empresa nesta semana
- Liste os celulares: todo celular Android que um funcionário usa para acessar o e-mail, os sistemas ou os apps de banco da empresa, seja um aparelho da empresa ou o próprio.
- Confira a data de segurança: segundo a página de ajuda do Google, ela fica em Configurações, em «Sobre o telefone» ou «Segurança», com o nome «Atualização de segurança do Android». O que você quer é 2026-11-05 ou posterior assim que estiver disponível para o modelo.
- Instale também a atualização do sistema do Google Play: parte das correções de 1 de novembro chega por ela, e ela aparece nas mesmas configurações com uma data própria.
- Trate aparelhos antigos como um risco conhecido: um celular preso no Android 13 ou anterior fica fora deste boletim. Mantenha-o longe das contas sensíveis da empresa e planeje a troca.
- Torne a regra automática: ferramentas de gerenciamento de dispositivos como o Microsoft Intune permitem definir um nível mínimo de patch de segurança, de modo que um aparelho mais antigo fica bloqueado para o e-mail e os sistemas até ser atualizado.
O app Android da sua empresa é afetado?
Essas falhas estão no próprio sistema operacional, não no seu app, então você não precisa mudar o seu código por causa delas. Mas o seu app roda sobre esse sistema: se ele mostra dados de clientes ou recebe pagamentos, um celular sem correção enfraquece a proteção que você construiu. Alguns apps de banco usam a API Play Integrity para recusar dispositivos inseguros, e apps de negócio sensíveis podem fazer o mesmo. E se você distribui um app interno fora da loja, leia também nosso artigo sobre as restrições do Google à instalação fora da loja.
A visão da Origami
A maioria das invasões não começa no servidor da empresa. Começa no aparelho de um funcionário, que guarda o e-mail, as mensagens e as senhas dele. A atualização mensal é gratuita e leva minutos, mas numa empresa em que ninguém acompanha, ela não acontece sozinha. Faça da verificação da data de segurança uma parte fixa do início de cada mês, como a revisão dos e-mails suspeitos que explicamos no nosso artigo sobre e-mails de phishing. Quando desenvolvemos apps e sistemas sob medida, adicionamos uma verificação de integridade do dispositivo e da versão do sistema antes de mostrar qualquer dado sensível. Se você quer uma revisão dos aparelhos da sua equipe ou do seu app, fale com a gente ou conheça nossos serviços.
Fontes
- Google — Android Security Bulletin, November 2026: número de vulnerabilidades, níveis de patch, componentes afetados e versões do Android 14 a 17.
- Samsung — Mobile Security Updates (SMR Nov-2026): data de publicação, patches da Samsung Semiconductor e itens do Galaxy.
- Google — Ajuda do Android: verificar e atualizar a versão do Android: onde fica a data da atualização de segurança em Configurações.
- CyberInsider — Android November update and the WAP Push flaw: como funciona a CVE-2026-58882 e a prova de conceito pública.
Perguntas frequentes
Como sei se meu celular Android recebeu a atualização de novembro de 2026?
Abra Configurações, depois «Sobre o telefone» ou «Segurança», e procure «Atualização de segurança do Android». Se a data for 5 de novembro de 2026 ou posterior, o celular está protegido contra todas as falhas do boletim de novembro; se for 1 de novembro, está protegido contra apenas parte delas.
A atualização de novembro chega a um celular com Android 13?
Não. O boletim do Google de novembro de 2026 cobre apenas o Android 14, 15, 16 e 17. Um celular preso no Android 13 ou anterior continua exposto, então mantenha-o longe das contas sensíveis da empresa e planeje a troca.
Os atacantes já exploraram essas falhas de verdade?
O boletim do Google não menciona nenhuma exploração real, e o relatório da CyberInsider não encontrou nenhuma para a falha WAP Push. Mas o código de prova de conceito dessa falha é público, por isso é melhor atualizar nesta semana do que esperar.
Preciso alterar o app Android da minha empresa por causa dessas falhas?
Não, as falhas estão no sistema operacional, não no seu app. Mas se o seu app mostra dados sensíveis ou recebe pagamentos, você pode adicionar uma verificação de integridade do dispositivo com o Play Integrity para recusar dispositivos inseguros.
