CVE-2026-0092: Google Android Package Manager: Falta de Verificação de Autorização
A CVE-2026-0092 é uma vulnerabilidade crítica no componente Package Manager do Google Android, descrita como um possível contorno do controlador de bloqueio do dispositivo causado pela ausência de verificação de permissão. O registro descreve escalonamento local de privilégio sem necessidade de interação do usuário e lista Android 17.0 e 17 como versões afetadas. Não há exploração confirmada nas fontes consultadas, e o registro não informa versão corrigida, então convém verificar o boletim do fornecedor para a compilação com correção.
Visão geral
O registro da CVE-2026-0092 descreve um possível contorno do controlador de bloqueio do dispositivo no componente Package Manager do Google Android. A fraqueza é atribuída à ausência de verificação de permissão, classificada como CWE-862 Missing Authorization. O CNA é o google_android, e o registro cita o boletim de segurança do Android 17 como aviso do fornecedor.
Impacto
Segundo a descrição, o problema poderia permitir escalonamento local de privilégio sem privilégios adicionais de execução e sem interação do usuário. O registro informa pontuação CVSS 10 com severidade crítica. A string de vetor marca os impactos de confidencialidade, integridade e disponibilidade como altos, e o SSVC indica impacto técnico total e automatizável como não. O campo de vetor de ataque está definido como rede, o que não coincide com o enquadramento local da descrição, então a exposição real deve ser confirmada com o fornecedor.
Produtos e versões afetadas
O registro lista Google Android nas versões 17.0 e 17. Nenhuma outra versão aparece nas fontes consultadas. O registro não contém versão corrigida, e a ausência de correção no registro não deve ser lida como ausência de correção por parte do fornecedor.
Status de exploração
O catálogo KEV da CISA não lista esta CVE no registro. O campo de exploração do SSVC está como nenhuma. A probabilidade EPSS é 0,00218, com percentil de 0,1162, conforme registrado. Não há exploração confirmada nas fontes consultadas.
Correção e mitigação
- Consulte o boletim de segurança do Android 17 e aplique a atualização que inclui a correção desta CVE em todos os dispositivos afetados.
- Priorize dispositivos com dados sensíveis, frotas gerenciadas e aparelhos em que usuários instalam aplicativos de fontes não confiáveis.
- Mantenha as políticas de gerenciamento de dispositivos em vigor e os dispositivos em níveis de patch suportados até que a atualização seja confirmada.
Orientações de detecção
- Faça o inventário dos dispositivos Android e registre seus níveis de patch de segurança para identificar os que ainda não foram atualizados.
- Monitore mudanças inesperadas no estado de bloqueio do dispositivo, alterações de privilégio não explicadas e atividade incomum de gerenciamento de aplicativos, e revise os logs do dispositivo quando disponíveis.
Limitações das informações disponíveis
O registro não inclui o conteúdo do boletim do fornecedor, então a compilação com correção e detalhes específicos do fornecedor são desconhecidos. A descrição e o vetor CVSS divergem quanto ao vetor de ataque. A data de EPSS no registro (2026-10-23) é posterior à data de publicação, então os valores de EPSS devem ser interpretados com cautela. O registro não fornece detalhes técnicos da falha, e esta análise também não os inclui.
Perguntas frequentes
O que é a CVE-2026-0092?
É uma fraqueza crítica no componente Package Manager do Google Android, descrita como um possível contorno do controlador de bloqueio do dispositivo causado pela ausência de verificação de permissão. O registro a classifica como CWE-862 Missing Authorization.
Quais versões do Android aparecem como afetadas?
O registro lista Google Android 17.0 e 17. Nenhuma outra versão aparece nas fontes consultadas.
Esta vulnerabilidade está sendo explorada ativamente?
A CVE não aparece no catálogo KEV da CISA no registro, e não há exploração confirmada nas fontes consultadas.
O que os administradores devem fazer?
Consultar o boletim de segurança do Android 17 citado no registro, aplicar a atualização do fornecedor nos dispositivos afetados e priorizar frotas gerenciadas e dispositivos com dados sensíveis.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.