GrapheneOS corrige falha de segurança da VPN do Android antes da Google

Uma VPN que consiga vazar a localização já é uma falha grave da tecnologia em condições normais. É especialmente preocupante quando os controlos de segurança do Android existem precisamente para garantir que isso não acontece. Este é o problema que o GrapheneOS resolveu no Android 16, com uma correção para uma falha na VPN que a Google decidiu ignorar.

GrapheneOS trata falha de segurança da VPN

Tal como foi noticiado, um investigador de segurança com o pseudónimo lowlevel/Yusuf revelou recentemente uma falha de segurança apelidada de Tiny UDP Cannon. O problema afeta o Android 16 e pode permitir que uma aplicação comum vaze uma pequena quantidade de dados para fora de um túnel VPN ativo, expondo potencialmente o seu endereço IP real.

Embora não seja um risco generalizado, o maior sinal de alerta deste bug é que aparentemente pode ocorrer mesmo com as definições de VPN mais restritivas do Android ativadas. A VPN sempre ativa e o bloqueio de ligações sem VPN deveriam impedir que o tráfego saísse do telefone, a menos que passasse pela VPN. Foram criadas para dar mais tranquilidade, mas este bug cria uma brecha que permite contornar essa proteção.

É importante notar que um atacante precisaria primeiro de instalar uma aplicação maliciosa no smartphone para explorar esta falha. Isto torna o risco diário modesto para a maioria dos utilizadores do Android, mas ainda não é o ideal se depender do modo de bloqueio VPN do Android como uma garantia séria de privacidade.

kudos to @GrapheneOS for shipping a fix in less than a weekhttps://t.co/lF7pNCETQ4 https://t.co/otKgCBSKl3

— Yusuf (@cybaqkebm) May 5, 2026

Bateua a Google ao tratar do problema do Android

A falha parece ter origem numa optimização de rede no Android 16. Segundo o investigador, o Android não verifica correctamente se um pequeno pacote de dados enviado ao fechar determinadas ligações deve ser bloqueado pela VPN, permitindo que seja transmitido através da ligação normal. Se a aplicação maliciosa garantir que o pacote contém o endereço IP, compromete um dos principais motivos pelos quais as pessoas utilizam VPNs.

A equipa de segurança do Android da Google classificou o problema como "Não será corrigido (Inviável)" e decidiu que não seria incluído num boletim de segurança. O GrapheneOS, o sistema operativo baseado em Android, focado na segurança e orientado para os Pixels, adotou uma abordagem diferente, desativando completamente a funcionalidade subjacente na versão 2026050400 .

Para os fãs do GrapheneOS, é mais uma demonstração de que o sistema operativo leva estes casos extremos de privacidade mais a sério do que os seus concorrentes. Os utilizadores do Android puro não têm uma solução oficial prática no momento, embora o investigador note que o recurso pode ser desativado manualmente através de um comando ADB.