O que é a vulnerabilidade CVE-2026-0106 e como ela afeta dispositivos Xiaomi?

A CVE-2026-0106 é uma falha crítica de segurança no driver da Unidade de Processamento de Vídeo (VPU) do Android que

permite a aplicativos maliciosos obterem permissões de root e acessarem a memória do kernel em dispositivos Xiaomi,

Redmi e POCO sem a intervenção do usuário.

O Gargalo das Atualizações e o Perigo do Calendário Lunar

Como especialista em infraestrutura, poucas coisas me deixam mais apreensivo do que um “patch” de segurança pronto

que não pode ser implantado. No caso da Xiaomi, o problema não é técnico, mas logístico. O desenvolvimento do

HyperOS (versões 2 e 3) foi pausado devido às celebrações do Ano Novo Chinês, que em 2026 ocorrem entre o dia 12 de

fevereiro e 3 de março.

Isso significa que, enquanto o Google já disponibilizou as correções na base do Android, milhões de usuários da

gigante chinesa estão operando em um ambiente vulnerável por pelo menos três semanas extras. Em termos de DevOps,

isso é o equivalente a ignorar um alerta de incêndio no servidor porque a equipe está de férias coletivas. O risco é

real: a infiltração na memória do kernel significa que qualquer barreira de segurança do sistema pode ser saltada

silenciosamente.

Quais modelos estão em risco?

A falha atinge uma vasta gama de aparelhos que utilizam chipsets específicos integrados ao HyperOS. Aparelhos das

linhas Redmi Note e POCO (séries F e X) são os mais visados devido à sua popularidade massiva. Além disso, 2026 é o

ano em que diversos modelos antigos entrarão oficialmente no status de "End of Life" (EOL), o que significa que,

para esses, a correção pode sequer chegar.

Drivers VPU: A brecha está na forma como o sistema processa streams de vídeo em baixa latência.
Acesso ao Kernel: Uma vez explorada, a falha permite modificar arquivos de sistema, instalar
```
  backdoors e capturar dados de autenticação.
```
Prevenção: A recomendação oficial é evitar absolutamente a instalação de APKs de fontes
```
  desconhecidas ou sites de terceiros até que o patch de março seja aplicado.
```

De acordo com boletins técnicos da [MITRE

    Corporation](https://cve.mitre.org), falhas de kernel são consideradas de gravidade máxima (10/10) devido à impossibilidade de o

sistema operacional conter o ataque após o comprometimento inicial.

Se não está atualizado, está errado

A lição aqui é clara para qualquer usuário ou administrador: a segurança é tão forte quanto o seu elo mais fraco, e o

elo mais fraco hoje é a dependência de ciclos de atualização centralizados. Se você possui um Xiaomi, verifique

diariamente as atualizações de sistema a partir da primeira semana de março. Até lá, seja extremamente criterioso

com o que você instala. No mundo da automação e segurança, se não está automatizado e atualizado, está errado.