Android 0-day CVE-2026-21385: Google Confirma Exploração Ativa — Atualize Agora

O Google confirmou em 01 de março de 2026 que a vulnerabilidade CVE-2026-21385 no kernel Android está sendo explorada ativamente em ataques direcionados. A falha, classificada com CVSS 8.8, permite elevação de privilégios do processo de app para root sem qualquer interação do usuário após a instalação inicial.

Grupos de threat intelligence atribuem a exploração a pelo menos dois atores: um grupo de espionagem patrocinado por estado e um broker de acesso inicial comercial que vende o exploit via fóruns da dark web.

Detalhes Técnicos da Vulnerabilidade

A falha reside no subsistema de gerenciamento de memória do kernel Linux (versões 5.15 LTS a 6.8). Especificamente, um use-after-free no driver ion_heap permite que um processo no espaço do usuário corrompa estruturas de dados do kernel.

• Afeta Android 12, 13, 14 e 15 (todas as arquiteturas ARM64)
• Exploit funciona sem root prévio — apenas a instalação de um APK malicioso é necessária
• Combinação com CVE-2026-21387 (WebView RCE) cria cadeia zero-click via navegador
• Tempo de exploração bem-sucedida: menos de 8 segundos em dispositivos testados

"Esta é a combinação mais grave que vimos em Android desde o Stagefright. A cadeia zero-click via WebView + escalação de privilégio coloca bilhões de dispositivos em risco imediato."

— Equipe CYBERBOX Threat Intel

Impacto no Brasil

Dados da telemetria da CYBERBOX indicam que o Brasil é o terceiro país com maior volume de tentativas de exploração desta CVE — atrás apenas da Índia e da Indonésia. Alvos prioritários identificados:

• Jornalistas e ativistas de direitos humanos
• Funcionários de instituições financeiras com acesso a aplicativos bancários
• Executivos de empresas de tecnologia e telecomunicações
• Membros de órgãos governamentais e legislativos estaduais

Verificação de Compromisso

# Verificar processos com acesso root não autorizado:
adb shell ps -A | grep " root "

# Pacotes suspeitos associados ao exploit:
com.google.android.gm.update  # Falso update Gmail
com.android.systemui.theme     # Falso tema do sistema

Mitigação

• Atualizar para o Android Security Patch Level de março 2026 (2026-03-05)
• Desativar instalação de apps de fontes desconhecidas (sideloading)
• Habilitar Google Play Protect e verificar apps instalados
• Considerar factory reset em dispositivos potencialmente comprometidos
• Implementar MDM com detecção de root em dispositivos corporativos