Uma nova pesquisa de segurança coloca os modems da Unisoc novamente sob atenção. Pesquisadores ligados à SSD Secure Disclosure divulgaram uma cadeia de exploração capaz de combinar falhas no firmware do modem com uma segunda vulnerabilidade para escapar do ambiente isolado do baseband e alcançar o kernel do Android.
O cenário é especialmente preocupante porque a primeira etapa pode ser iniciada remotamente por meio da infraestrutura de telefonia móvel. Pesquisas anteriores da mesma linha demonstraram execução de código no modem a partir de uma chamada de vídeo VoLTE especialmente preparada, sem depender da instalação de um aplicativo malicioso no aparelho.
A nova etapa eleva o impacto: em vez de manter o invasor restrito ao processador responsável pela comunicação celular, a cadeia permite avançar em direção ao sistema operacional principal do smartphone.
Ataque começa no modem do celular
Smartphones modernos possuem diferentes ambientes computacionais. O Android executa no chamado processador de aplicações, enquanto um componente separado — o baseband — processa boa parte das comunicações com a rede celular.
Essa separação existe também por razões de segurança.
Uma vulnerabilidade no modem, em princípio, não deveria automaticamente proporcionar controle sobre o Android. A cadeia apresentada pelos pesquisadores procura justamente atravessar essa barreira.
Na primeira etapa, o ataque explora uma vulnerabilidade no processamento de informações relacionadas a chamadas de vídeo VoLTE.
Pesquisas publicadas em março mostraram que um erro no processamento SIP/SDP do firmware poderia provocar corrupção de memória e permitir execução remota de código no modem. Os testes foram realizados em um Realme C33 equipado com Unisoc T612.
Uma chamada de vídeo pode iniciar o comprometimento
A característica mais relevante do primeiro estágio é a superfície de ataque.
O invasor pode preparar mensagens relacionadas ao estabelecimento de uma chamada de vídeo pela rede celular. Durante os testes, pesquisadores utilizaram uma infraestrutura IMS controlada para enviar mensagens INVITE manipuladas ao aparelho-alvo.
O processamento dessas informações pelo firmware vulnerável provoca um estouro de pilha que pode ser transformado em execução de código.
Ou seja: o ponto inicial não está em um arquivo APK baixado pelo usuário, em um link de phishing ou em uma página maliciosa aberta no navegador.
Está na própria camada responsável pela comunicação móvel.
Segunda etapa chega ao kernel do Android
Obter execução de código no baseband já representa uma vulnerabilidade relevante, mas existe uma diferença significativa entre controlar o modem e controlar o sistema operacional principal.
É nesse ponto que entra a segunda etapa apresentada pela SSD Secure Disclosure.
Depois de comprometer o firmware do modem, a cadeia utiliza outra vulnerabilidade para atravessar a separação entre o baseband e o processador de aplicações.
O resultado demonstrado pelos pesquisadores é acesso ao kernel Linux utilizado pelo Android.
O kernel representa uma das camadas de maior privilégio do sistema operacional. Ele administra memória, processos, drivers e a comunicação entre software e hardware.
Por isso, uma cadeia capaz de sair do modem e atingir essa camada muda significativamente a avaliação do risco.
O que um comprometimento do kernel representa
Controlar o kernel pode permitir que um invasor ultrapasse diversas proteções aplicadas aos aplicativos comuns.
Em um cenário de exploração bem-sucedida, isso pode criar condições para acesso privilegiado ao dispositivo, manipulação de processos e comprometimento mais amplo do sistema.
O impacto concreto, entretanto, depende da versão do firmware, do chipset, do kernel e das demais proteções presentes em cada aparelho.
Não é correto concluir que qualquer smartphone equipado com um chip Unisoc possa automaticamente ser comprometido dessa maneira.
A pesquisa demonstra uma cadeia técnica de exploração em ambientes vulneráveis, e não evidência de que todos os dispositivos da fabricante sejam afetados.
Diferentes chipsets compartilham componentes vulneráveis
A pesquisa anterior sobre a etapa de comprometimento do modem identificou o código vulnerável em diferentes SoCs da Unisoc.
Entre os modelos apontados estão:
- T612
- T616
- T606
- T7250
O ataque foi reproduzido no Realme C33 com T612 e firmware específico utilizado pelos pesquisadores.
A Unisoc possui presença significativa no mercado de chipsets, especialmente em smartphones de entrada e intermediários, além de outros equipamentos conectados.
Isso torna falhas no baseband particularmente relevantes: um mesmo componente de firmware pode acabar reaproveitado em diferentes produtos e fabricantes.
Atualização do Android pode não ser suficiente
Outro ponto importante está na forma como vulnerabilidades desse tipo precisam ser corrigidas.
O aparelho utilizado na demonstração da primeira etapa possuía patches de segurança do Android de 1º de julho de 2025, mas continuava vulnerável porque o problema estava localizado no firmware do modem.
Isso evidencia uma dificuldade do ecossistema Android.
Atualizar o sistema operacional não significa necessariamente que todos os componentes de baixo nível — baseband, bootloader e firmware de diferentes chips — estejam protegidos contra vulnerabilidades recém-descobertas.
A correção pode depender do fabricante do chipset, do fabricante do smartphone e, em alguns casos, da distribuição de uma nova versão de firmware para cada aparelho.
Unisoc já teve outras falhas de modem identificadas
Esta não é a primeira pesquisa a revelar problemas relevantes na camada de comunicação da Unisoc.
Em 2022, pesquisadores da Check Point encontraram uma vulnerabilidade no firmware LTE da empresa que poderia ser explorada remotamente por meio de pacotes especialmente preparados.
A falha estava relacionada ao processamento de mensagens Non-Access Stratum (NAS) e poderia provocar corrupção de memória e interrupção da conectividade celular.
Mais recentemente, vulnerabilidades relacionadas à validação inadequada de entradas também foram registradas oficialmente em produtos da fabricante. A CVE-2025-69279, por exemplo, afeta determinados chipsets T8100, T9100, T8200 e T8300 e pode provocar negação remota de serviço.
Os problemas não são necessariamente relacionados entre si, mas mostram por que a segurança do baseband vem recebendo maior atenção dos pesquisadores.
Baseband tornou-se uma superfície estratégica de ataque
Grande parte da segurança de smartphones é discutida em torno de aplicativos maliciosos, navegadores, mensagens de phishing e vulnerabilidades do próprio Android.
O modem é diferente.
Ele precisa permanecer conectado à infraestrutura celular e interpretar continuamente protocolos complexos de telecomunicações. Isso cria uma superfície de ataque que existe mesmo quando o usuário não está utilizando ativamente o aparelho.
Uma pesquisa acadêmica publicada em agosto de 2026 reforça a importância dessa camada. Pesquisadores desenvolveram uma técnica chamada Unislop para re-hospedar e analisar firmware de baseband Unisoc UDX710, permitindo estudar profundamente os estados e protocolos utilizados pelo modem.
Quanto mais pesquisadores conseguem reproduzir e analisar esses ambientes, maior tende a ser a capacidade de encontrar vulnerabilidades que antes permaneciam escondidas em firmware proprietário.
O que usuários e empresas devem observar
O problema dessas vulnerabilidades é que usuários possuem menos controle sobre atualizações de firmware do modem do que sobre aplicativos ou até mesmo sobre o Android.
A principal medida é manter o aparelho com todas as atualizações disponibilizadas pelo fabricante e acompanhar comunicados específicos sobre o modelo utilizado.
Empresas que administram frotas de smartphones devem também conhecer os chipsets presentes nos dispositivos corporativos. Em ambientes de maior risco, o inventário não deveria registrar apenas “Android 16” ou o modelo do aparelho, mas também componentes críticos e versões de firmware.
Ainda não há evidência nas fontes consultadas de exploração dessa cadeia em ataques reais em larga escala.
Também não há elementos suficientes para afirmar que usuários brasileiros tenham sido especificamente atacados.
Pesquisa expõe desafio escondido dentro dos smartphones
A cadeia divulgada pela SSD Secure Disclosure mostra que proteger o Android é apenas uma parte do problema.
Smartphones modernos executam diversos firmwares privilegiados que permanecem praticamente invisíveis para o usuário. Uma vulnerabilidade em um desses componentes pode, quando combinada com outras falhas, criar caminhos inesperados até as partes mais sensíveis do aparelho.
No caso apresentado pelos pesquisadores, o salto entre uma comunicação recebida pela rede celular, o comprometimento do modem e o acesso ao kernel Android demonstra exatamente esse risco.
Para fabricantes, operadoras e equipes responsáveis por segurança móvel, a pesquisa reforça a necessidade de tratar o firmware do baseband como parte crítica — e não secundária — da superfície de ataque dos smartphones.
