Descoberta e escopo da falha
Em um golpe severo para a segurança móvel, o Boletim de Segurança do Android de maio de 2026 revelou uma vulnerabilidade catastrófica de zero-click oculta no núcleo do sistema Android. A falha, identificada como CVE-2026-0073, reside no daemon adbd e permite que atores maliciosos próximos obtenham acesso completo ao shell remotamente, sem qualquer interação da vítima.
Desenterrada por pesquisadores de segurança da BARGHEST, essa ruptura criptográfica crítica destrói completamente o modelo de confiança de depuração do Android, transformando uma ferramenta de desenvolvedor padrão em uma backdoor invisível e armamentizada. A fundação do CVE-2026-0073 é um erro de lógica criptográfica na função adbd_tls_verify_cert do arquivo auth.cpp.
Mecanismo de exploração técnica
As conexões ADB sem fio modernas dependem de autenticação mútua TLS para garantir que um cliente conectante seja um host previamente emparelhado e confiável. Durante este handshake, o sistema usa a API EVP_PKEY_cmp para comparar a chave pública do certificado do cliente contra as chaves RSA autorizadas armazenadas no dispositivo.
Se um atacante fornecer um certificado não-RSA, como EC P-256 ou Ed25519, a API de comparação retorna -1 para sinalizar uma incompatibilidade de algoritmo cruzado. Como a implementação subjacente em C++ trata todos os inteiros não nulos como um sucesso booleano, o daemon valida incorretamente o certificado incompatível do atacante como uma chave de host confiável.
Embora a falha de lógica seja direta, a sua armação requer manipulação precisa do protocolo. Um atacante deve primeiro estabelecer uma conexão TCP, negociar com sucesso a sequência de atualização STLS e, em seguida, fornecer o certificado de algoritmo cruzado malicioso. Uma vez que este portão de autenticação é contornado, o atacante pode retomar o enquadramento ADB dentro do túnel criptografado para abrir um shell remoto.
Impacto e consequências
Isso concede ao atacante privilégios de execução como o usuário shell, permitindo que ele contorne as sandboxes normais do aplicativo. Consequentemente, atores maliciosos podem extrair informações pessoais sensíveis, abusar do gerenciamento de pacotes para instalar silenciosamente aplicativos maliciosos e manipular configurações do sistema para preparar uma exploração adicional do dispositivo.
De acordo com a Barghest Research, a vulnerabilidade afeta principalmente dispositivos Android 14, 15 e 16 sob condições de estado específicas. A exploração bem-sucedida exige os seguintes pré-requisitos:
- As opções de desenvolvedor estão ativamente ativadas no dispositivo alvo.
- A depuração sem fio, ou ADB sobre TCP, está exposta na rede.
- O repositório de confiança do dispositivo contém pelo menos uma chave de host RSA previamente emparelhada.
- O atacante tem alcance de rede adjacente à porta TCP 5555 do ADB do dispositivo.
Recomendações para CISOs e administradores
Usuários de dispositivos e administradores empresariais devem aplicar o patch de segurança de maio de 2026 imediatamente para resolver essa falha crítica. Para reduzir proativamente as superfícies de ataque, os usuários devem desativar a depuração sem fio em redes não confiáveis e revogar autorizações para hosts de depuração desconhecidos.
Desativar as opções de desenvolvedor inteiramente quando não estiverem em uso é altamente recomendado para proteger contra tentativas de exploração automatizada de rede local. A liberação do PoC (Prova de Conceito) aumenta a urgência para que os defensores empresariais auditem suas configurações de segurança móvel e acelerem a migração para versões corrigidas antes que atacantes oportunistas operacionalizem essa técnica em intrusões direcionadas.
Perguntas frequentes
Qual a severidade da vulnerabilidade? A falha é classificada como crítica devido à capacidade de acesso remoto ao shell sem interação do usuário.
Quais dispositivos são afetados? Dispositivos Android 14, 15 e 16 com depuração sem fio ativada.
Como mitigar imediatamente? Desative a depuração sem fio e aplique o patch de segurança de maio de 2026.