Meta corrige duas falhas no WhatsApp para iOS, Android e Windows, segundo boletins de seguran\u00e7a divulgados pela companhia. As vulnerabilidades, identificadas como CVE-2026-23863 e CVE-2026-23866, afetavam vers\u00f5es do app em Windows, iOS e Android. N\u00e3o houve registro de explora\u00e7\u00e3o ativa at\u00e9 o momento.<\/p>\n
As falhas poderiam ser exploradas para enganar usu\u00e1rios com arquivos disfar\u00e7ados ou para acionar fun\u00e7\u00f5es do dispositivo sem a anu\u00eancia da v\u00edtima. As duas vulnerabilidades foram reportadas por pesquisadores externos por meio do programa de bug bounty da Meta. A companhia afirma que n\u00e3o h\u00e1 evid\u00eancias de utiliza\u00e7\u00e3o real.<\/p>\n
A falha afeta o WhatsApp para Windows em vers\u00f5es anteriores \u00e0 v2.3000.1032164386.258709 e envolve spoofing de anexo, fazendo um arquivo malicioso parecer um tipo de arquivo inofensivo ao usu\u00e1rio.<\/p>\n
O funcionamento envolve o m\u00e9todo de identifica\u00e7\u00e3o de arquivos pelo Windows, que l\u00ea a extens\u00e3o para exibir o \u00edcone correspondente. Um caractere invis\u00edvel, chamado byte NUL, interrompia a leitura do nome pelo WhatsApp, gerando apar\u00eancia de documento. O Windows continuava a leitura, levando \u00e0 execu\u00e7\u00e3o de c\u00f3digo malicioso ao abrir o arquivo.<\/p>\n
A falha permitia que um atacante enviasse um arquivo que parecesse um PDF comum na tela do aplicativo, mas executasse c\u00f3digo malicioso ao ser aberto no Windows. A corre\u00e7\u00e3o j\u00e1 est\u00e1 dispon\u00edvel na vers\u00e3o v2.3000.1032164386.258709 ou superior.<\/p>\n
Essa falha envolve o WhatsApp para iOS e Android, com vers\u00f5es espec\u00edficas suscet\u00edveis. O problema ocorria no processamento de mensagens contendo previews de v\u00eddeos do Instagram Reels, a partir de URLs de origem externa.<\/p>\n
Durante o processamento, a verifica\u00e7\u00e3o de legitimidade da URL era incompleta, permitindo que mensagens formatadas inadequadamente for\u00e7assem o dispositivo a buscar conte\u00fado controlado pelo atacante sem a\u00e7\u00e3o do usu\u00e1rio.<\/p>\n
A parte cr\u00edtica envolve o uso de protocolos de URL personalizados pelo sistema operacional, que podem abrir apps, iniciar chamadas ou redirecionar para sites de phishing. A Meta divulgou que vers\u00f5es posteriores \u00e0 v2.26.15.72 no iOS e v2.26.7.10 no Android n\u00e3o s\u00e3o vulner\u00e1veis.<\/p>\n
A empresa orienta a atualiza\u00e7\u00e3o do WhatsApp em todos os dispositivos. No iOS, instale qualquer vers\u00e3o superior a v2.26.15.72. No Android, utilize vers\u00f5es superiores a v2.26.7.10. No Windows, a vers\u00e3o de seguran\u00e7a \u00e9 v2.3000.1032164386.258709 ou superior.<\/p>\n
A Meta ressaltou n\u00e3o ter encontrado evid\u00eancias de explora\u00e7\u00e3o em uso real. Com mais de 2 bilh\u00f5es de usu\u00e1rios ativos, a empresa refor\u00e7a a import\u00e2ncia de manter o aplicativo atualizado para reduzir a superf\u00edcie de ataque.<\/p>\n","protected":false},"excerpt":{"rendered":"