Falha do WhatsApp permitia abrir fotos com celular bloqueado

Uma falha do WhatsApp permitia acessar as fotos de alguns celulares Android mesmo com a tela bloqueada. O problema foi reproduzido em aparelhos Google Pixel e OPPO, mas não funcionou em um Samsung Galaxy nem no iPhone.

A brecha não permitia invadir o aparelho remotamente. Para explorá-la, uma pessoa precisava ter acesso físico ao celular bloqueado e conseguir interagir com uma chamada de vídeo recebida pelo WhatsApp. O aplicativo informou que começou a distribuir uma correção em 3 de setembro de 2026.

Como funcionava a falha do WhatsApp?

A falha do WhatsApp foi divulgada pelo pesquisador de segurança José Rodríguez, conhecido como VBarraquito. O problema envolvia a combinação entre uma chamada de vídeo atendida na tela bloqueada, os efeitos de chamada e o editor de imagens associado à Meta AI.

Em determinadas versões do Android, essa sequência permitia chegar ao seletor de fotos do sistema sem que o aparelho solicitasse novamente a senha, o PIN ou a identificação biométrica. Com isso, alguém que estivesse segurando o celular poderia visualizar imagens armazenadas no dispositivo.

Rodríguez informou que comunicou a falha do WhatsApp à Meta e ao Google. O Notebookcheck também reproduziu o problema em diferentes aparelhos. O Overdrive não realizou um teste próprio e, por segurança, não apresenta a sequência completa necessária para explorar a brecha.

Quais celulares foram afetados?

Os testes disponíveis mostram que a falha do WhatsApp não atingia automaticamente todos os aparelhos Android. O resultado mudava conforme o fabricante e a interface utilizada pelo sistema.

A tabela não representa uma lista completa de celulares vulneráveis. Os testes mostram apenas que diferentes implementações da tela de bloqueio e do seletor de fotos podem impedir ou permitir o acesso. Não é possível afirmar que todo Pixel ou OPPO esteja afetado, nem que todos os aparelhos Samsung estejam protegidos.

O WhatsApp já corrigiu a falha?

O WhatsApp declarou em 3 de setembro que havia começado a distribuir uma correção. Segundo a resposta pública da empresa, a falha estava limitada a uma situação rara na qual outra pessoa tinha acesso físico ao aparelho do usuário.

Até 8 de setembro, a empresa não havia divulgado uma versão específica do aplicativo que garantisse a correção, uma relação oficial dos aparelhos afetados ou uma data para o fim da distribuição. Por isso, manter o WhatsApp atualizado continua sendo a principal recomendação.

A empresa também não informou que fotos tenham sido acessadas por criminosos por meio dessa vulnerabilidade. A descoberta ocorreu em um teste de segurança e não há confirmação pública de exploração em ataques reais.

Como proteger as fotos do celular?

Quem usa WhatsApp no Android pode adotar algumas precauções enquanto a correção não chega a todos os aparelhos:

• abra a Google Play Store e instale qualquer atualização disponível para o WhatsApp;
• verifique se há uma nova atualização do Android ou do pacote de segurança;
• revise a permissão de fotos e vídeos concedida ao aplicativo;
• quando disponível, permita acesso somente às fotos selecionadas;
• evite deixar o celular bloqueado ao alcance de outras pessoas;
• não permita que desconhecidos manipulem o aparelho durante uma chamada recebida.

No Android, as permissões normalmente ficam em Configurações > Aplicativos > WhatsApp > Permissões, embora os nomes possam mudar conforme o fabricante. O próprio WhatsApp explica como revisar essas permissões.

Restringir o acesso às fotos pode limitar o envio de imagens pelo aplicativo, mas reduz a quantidade de arquivos disponíveis caso outra falha de privacidade seja encontrada. Também vale conferir como identificar se o celular está sendo rastreado e acompanhar as notícias de tecnologia do Overdrive.

A falha permitia invadir o celular à distância?

Não há evidência de que a falha do WhatsApp permitisse abrir a galeria remotamente, apenas enviando uma mensagem ou fazendo uma chamada. A pessoa precisava estar fisicamente com o aparelho e interagir com a chamada exibida na tela bloqueada.

A brecha também não dava, por si só, acesso à conta do WhatsApp, às conversas ou às senhas armazenadas no celular. O risco documentado estava concentrado na visualização das fotos disponibilizadas pelo seletor de mídia do Android.