A Qualcomm lançou atualizações de segurança para corrigir três falhas críticas em chips com GPU Adreno, amplamente usados em dispositivos Android. As vulnerabilidades, reportadas pela equipe de segurança do Android do Google, estão sendo exploradas em ataques direcionados e representam sérios riscos à integridade dos dispositivos.

Duas dessas falhas (CVE-2025-21479 e CVE-2025-21480), ambas com pontuação CVSS de 8,6, envolvem problemas de autorização incorreta no componente gráfico, permitindo a execução de comandos não autorizados no microcódigo da GPU. A terceira vulnerabilidade (CVE-2025-27038), com pontuação CVSS de 7,5, é um erro do tipo “use-after-free”, que causa corrupção de memória ao renderizar gráficos por meio do navegador Chrome com drivers Adreno.

O Google Threat Analysis Group confirmou que essas falhas vêm sendo exploradas de forma limitada e direcionada, embora não haja informações públicas sobre os responsáveis ou os alvos. A Qualcomm disponibilizou os patches de segurança aos fabricantes de dispositivos (OEMs) ainda em maio, com recomendação de aplicação imediata.

Casos anteriores indicam que vulnerabilidades semelhantes já foram aproveitadas por empresas de spyware comercial, como Variston e Cy4Gate. Em 2023, uma falha similar foi usada pela inteligência da Sérvia para desbloquear smartphones de ativistas e instalar o spyware NoviSpy via ferramenta Cellebrite.

Esses episódios destacam a crescente sofisticação de campanhas de vigilância digital e reforçam a urgência de atualizações constantes, sobretudo em níveis mais profundos de hardware.