Novo Plano de Segurança do Android: Atualizações Baseadas em Risco Explicadas
Por uma década sólida, o Google lançou consistentemente boletins mensais de segurança do Android, detalhando as correções para várias vulnerabilidades, independentemente de seus próprios dispositivos Pixel estarem prontos para uma atualização. Esse ritmo consistente, no entanto, mudou. Acho que é uma mudança para melhor, embora possa trazer alguns riscos.
O boletim de julho de 2025 marcou um ponto de virada: pela primeira vez em 120 lançamentos, ele não listou uma única vulnerabilidade! Avançando para setembro de 2025, vimos impressionantes 119 vulnerabilidades listadas. Isso não aconteceu porque o Google parou repentinamente de encontrar vulnerabilidades em julho. Em vez disso, mostrou uma mudança estratégica na forma como eles lidam com as atualizações de segurança do Android.
A ideia central? Ajudar os fabricantes de dispositivos a abordar os problemas de maior risco rapidamente, protegendo melhor os usuários de ameaças imediatas. Por exemplo, se uma vulnerabilidade estiver sendo ativamente explorada, isso será priorizado. Trata-se de focar no que é perigoso agora.
Como o Google está lidando com as vulnerabilidades
O Google tem sido proativo no reforço das defesas do Android. Eles estão usando linguagens com segurança de memória, como Rust, em novos códigos e implementando medidas anti-exploração. Mas, o cenário está sempre mudando, e algumas vulnerabilidades estão sempre esperando para serem descobertas.
Quando as vulnerabilidades são encontradas, elas geralmente são relatadas de forma privada por pesquisadores de segurança. A equipe de segurança do Google então entra em ação para verificar, avaliar o impacto e atribuir uma classificação de gravidade. Após a validação, um identificador exclusivo é atribuído e os engenheiros trabalham para desenvolver um patch. É um processo complexo que envolve muitas pessoas inteligentes.
Acho que o maior desafio para o Google é que eles não podem enviar atualizações diretamente para todos os dispositivos Android. Eles dependem dos fabricantes para fazer isso. É por isso que eles criaram o Android Security Bulletin (ASB). É uma forma de coordenar o lançamento de várias correções de segurança de uma só vez, dando aos fabricantes tempo para se prepararem.
No entanto, mesmo com esse tempo de antecedência, alguns fabricantes têm dificuldade em acompanhar. Muitos não se comprometem com atualizações mensais para todos os seus dispositivos, especialmente os de baixo custo e médio porte. Isso deixa muitos dispositivos Android vulneráveis.
O "Sistema de atualização baseado em risco"
A solução do Google é o "Sistema de atualização baseado em risco" (RBUS). Em vez de agrupar todos os patches no próximo ASB, o Google prioriza apenas as vulnerabilidades de "alto risco" nas versões mensais, como mencionei anteriormente. Outras correções são incluídas em ASBs trimestrais.
Essa abordagem oferece benefícios para os fabricantes. Como os boletins mensais se concentram em problemas de alto risco, alguns podem até listar zero correções, o que foi o caso em julho de 2025. Isso dá aos fabricantes a flexibilidade de liberar atualizações quando julgarem necessário. No entanto, Samsung e Qualcomm podem listar vários CVEs em seus próprios boletins mensais.
Por outro lado, os ASBs trimestrais serão maiores, alinhando-se com a nova programação de lançamento trimestral do Android. Isso incentiva os fabricantes a adotarem pelo menos uma programação de atualização trimestral para melhor proteção.
Do ponto de vista do usuário, se você já está recebendo atualizações mensais, provavelmente continuará a recebê-las. Caso contrário, essa mudança pode ajudar o fabricante do seu dispositivo a entregá-las de forma mais consistente. No mínimo, deve tornar essas atualizações trimestrais mais impactantes.
Há uma desvantagem potencial, no entanto. Com prazos mais longos para atualizações trimestrais, existe o risco de que detalhes de vulnerabilidades possam vazar, dando aos agentes mal-intencionados mais tempo para desenvolver exploits. Embora o ASB privado seja compartilhado com segurança, ele é acessível a uma ampla gama de engenheiros, aumentando as chances de um vazamento. Como resultado, o Google não está mais liberando o código-fonte para atualizações de segurança mensais, apenas trimestrais. Isso, em conjunto com outros atrasos no código-fonte do sistema operacional, significa que a maioria das ROMs personalizadas não pode mais enviar atualizações mensais.
Fonte: AndroidAuthority