A Nintendo corrigiu uma vulnerabilidade de alta severidade no Nintendo Switch original que poderia permitir que um atacante próximo executasse código não autorizado e acessasse informações armazenadas no console. Rastreada como CVE-2026-82079, a falha afeta o firmware anterior a 23.0.0 e reside na rede sem fio local. O problema de segurança é um estouro de buffer baseado em pilha, uma falha de corrupção de memória que ocorre quando dados recebidos excedem o espaço reservado na pilha.
Descoberta e escopo da falha
Um atacante pode transmitir tráfego de rede especialmente elaborado que corrompe a memória e habilita programação orientada a retorno, ou ROP. Cadeias ROP juntam sequências de instruções curtas já na memória, potencialmente permitindo que o adversário redirecione o controle do programa e execute operações arbitrárias. A Nintendo diz que a exploração é limitada a fluxos de trabalho específicos e requer interação controlada com um console.
O atacante deve estar dentro do alcance sem fio e escanear diretamente um código QR exibido na tela do Switch ou na televisão conectada. Os fluxos de trabalho expostos incluem a função do Álbum "Enviar para Smartphone" e a capacidade de Enviar para Smartphone usada com o Mario Kart Live: Home Circuit. Uma vez que o dispositivo malicioso se une ao ambiente sem fio local temporário do console, pacotes elaborados poderiam atingir o código de rede vulnerável.
Um ataque bem-sucedido poderia comprometer confidencialidade, integridade e disponibilidade. A Nintendo avisa que um atacante que atenda às condições necessárias pode executar código não autorizado ou obter informações do console durante um ataque bem-sucedido. No entanto, os requisitos estreitos de proximidade e código QR restringem a exploração oportunista.
Vetor e exploração técnica
A Nintendo atribuiu ao CVE-2026-82079 uma pontuação base CVSS 4.0 de 7.0, classificada como Alta. Seu vetor descreve um ataque de rede adjacente com baixa complexidade, sem privilégios necessários e interação passiva do usuário, com o maior impacto avaliado caindo sobre a integridade do sistema. Bancos de dados de terceiros também listam uma probabilidade EPSS de aproximadamente 0,16%, indicando uma previsão baixa de exploração em ambiente selvagem dentro de 30 dias.
Consoles Nintendo Switch originais executando versões abaixo de 23.0.0 estão vulneráveis. A Nintendo diz que a questão não pode ser explorada para obter informações do console do Nintendo Switch 2, distinguindo a plataforma mais recente do hardware afetado. A vulnerabilidade foi relatada por pesquisadores de segurança externos, e a Nintendo publicou seu aviso inicial de segurança em 10 de setembro de 2026.
Impacto e alcance
O impacto potencial é significativo para usuários individuais e para a integridade do ecossistema de jogos. Embora a exploração exija proximidade física e interação do usuário (escaneamento de QR code), isso não elimina o risco para usuários que frequentam locais públicos ou compartilham consoles. A natureza da falha de buffer overflow permite que atacantes assumam o controle do sistema operacional do console.
Isso pode levar à execução de código malicioso, potencialmente permitindo a instalação de homebrew não autorizado, roubo de dados do console ou comprometimento de contas vinculadas. A Nintendo enfatiza que a falha não afeta o Nintendo Switch 2, o que é uma distinção importante para proprietários da nova geração.
Medidas de mitigação recomendadas
Usuários devem instalar a atualização do sistema 23.0.0 imediatamente. Para verificar o firmware instalado, abra Configurações do Sistema no Menu HOME, selecione Sistema e revise a versão exibida; a Atualização do Sistema inicia uma verificação manual. Consoles conectados à internet normalmente baixam atualizações atuais automaticamente.
Se o patching imediato for impossível, os proprietários devem evitar os recursos de compartilhamento afetados, impedir que outros vejam ou escaneiem códigos QR exibidos pelo console ou TV, usem apenas smartphones pessoais confiáveis para transferências do Álbum e evitem karts do Mario Kart Live não familiares.
O que os CISOs devem fazer imediatamente
1. Atualize todos os consoles Nintendo Switch para a versão 23.0.0 ou superior imediatamente.
2. Desative recursos de compartilhamento sem fio em consoles corporativos ou educacionais.
3. Eduque os usuários sobre os riscos de escanear códigos QR de dispositivos desconhecidos.
4. Monitore logs de rede para tráfego sem fio anômalo originado de consoles.
5. Considere a segmentação de rede para dispositivos IoT e consoles em ambientes corporativos.