Falha no OnePlus OxygenOS permite que qualquer app execute comandos root no seu celular

O OnePlus OxygenOS está no centro de um alerta de segurança após a divulgação da falha de alta severidade CVE-2026-70386. Segundo o comunicado, qualquer aplicativo Android instalado localmente pode ser iniciado sem permissões declaradas e enviar um evento manipulado pela interface binder do atlasservice, que não faz verificação de autorização.

Uma segunda etapa da cadeia copia dados controlados pelo atacante para a propriedade de sistema oplus.audio.dumpinfo.type e inicia o serviço root audiodumpinfo, repassando o valor para system() sem sanitização. O resultado é execução arbitrária de comandos shell como uid 0 no domínio SELinux dumpstate, transformando um app aparentemente comum em uma ameaça com privilégios de root.

Versões afetadas incluem OxygenOS 16.1.0 antes de 16.1.10.500, 16.0.0 antes de 16.0.5.1200 e 15.0.0 antes de 15.0.0.2000. Atualize para a versão corrigida assim que ela estiver disponível e acompanhe as orientações do fabricante.