CVE-2026-0106: Google Android: falta de verificação de limites em vpu_ioctl permite mmap de endereço arbitrário e escalada local de privilégios

Visão geral

A CVE-2026-0106 é descrita pelo CNA como uma falta de verificação de limites na rotina vpu_mmap do componente vpu_ioctl no Google Android. O registro afirma que isso poderia permitir um mmap de endereço arbitrário e levar a uma escalada local de privilégios. A única referência do fabricante no registro é um boletim de segurança do Pixel de 2026-02-01.

Impacto

O CNA informa pontuação base CVSS 3.1 de 9.3, com vetor CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H, classificada como crítica.
O vetor indica vetor de ataque local, nenhum privilégio exigido, nenhuma interação do usuário, escopo alterado e alto impacto em confidencialidade, integridade e disponibilidade.
A fraqueza descrita representa risco de escalada de privilégios: um processo local poderia obter privilégios que não deveria ter.

Produtos e versões afetadas

Produto: Google Android.
Versões: a fonte não especifica as versões afetadas, portanto nenhum intervalo de versões pode ser confirmado a partir do registro.
O registro não lista versões corrigidas. Isso não significa que não exista correção; significa que o registro não fornece essa informação.

Status de exploração

Esta CVE não consta, no registro, no catálogo Known Exploited Vulnerabilities da CISA. Nas fontes consultadas não há exploração confirmada. O registro não traz dados de EPSS ou SSVC.

Correção e mitigação

Consulte o aviso do fabricante para as atualizações de segurança do Android e do Pixel que tratam deste problema e aplique o nível de patch de segurança mais recente nos dispositivos afetados.
Priorize dispositivos com exposição local ou com uso compartilhado, já que o vetor indica um caminho de ataque local.
Limite a instalação de aplicativos não confiáveis e restrinja o acesso local em frotas gerenciadas até que as correções sejam verificadas.
Acompanhe o aviso do fabricante para atualizações, pois o registro não confirma quais builds contêm a correção.

Orientação para detecção

Use ferramentas de gerenciamento de dispositivos móveis ou de inventário para relatar níveis de patch e identificar dispositivos que não receberam a atualização de segurança correspondente.
Monitore mudanças inesperadas de privilégios ou comportamento anormal de processos locais em endpoints, como medida defensiva geral.
Mantenha registros da postura de segurança e do status de atualização dos dispositivos para apoiar a análise de incidentes.

Limitações das informações disponíveis

Não há intervalos de versões afetadas ou corrigidas além do nome do produto.
O registro não confirma quais builds do Android ou do Pixel incluem a correção, nem se o boletim referenciado cobre esta CVE em detalhes.
O registro não traz título, EPSS, SSVC nem detalhes de exploração além de a inclusão no KEV ser falsa.
As fontes consultadas limitaram-se ao registro e às páginas listadas; nenhum conteúdo adicional de aviso foi verificado.

Perguntas frequentes

O que é a CVE-2026-0106?

É uma falta de verificação de limites na rotina vpu_mmap de vpu_ioctl no Google Android, que segundo o CNA poderia permitir um mmap de endereço arbitrário e escalada local de privilégios.

A CVE-2026-0106 é explorada ativamente?

Não. O registro mostra que ela não consta no catálogo KEV da CISA, e nas fontes consultadas não há exploração confirmada.

Quais versões do Android são afetadas?

A fonte não especifica as versões afetadas e o registro não lista versões corrigidas. Consulte o aviso do fabricante e aplique as atualizações de segurança mais recentes.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.