Vulnerabilidade expõe SMS e MMS em smartphones OnePlus

Apesar de não serem vendidos oficialmente no Brasil, os smartphones OnePlus podem ser encontrados em diversas lojas online por preços bem interessantes.

O problema é que se você tem um desses aparelhos pode estar correndo riscos de ter seus dados expostos devido a uma vulnerabilidade de segurança que deixa as informações de SMS e MMS expostos.

*Modelos com Sistema Operacional Oxygen OS 12, 14 e 15 instalados apresentam vulnerabilidade que permite que hackers acessem as mensagens trocadas por SMS. (Imagem: Divulgação/OnePlus)*

Modelos com Oxygen OS 11 não foram afetados

A vulnerabilidade divulgada recentemente permite que aplicativos maliciosos leiam as mensagens de texto secretamente, afirma o The Verge.

Quem descobriu a falha foi a empresa de segurança Rapid7, que informou que o problema permite que aplicativos maliciosos em aparelhos OnePlus afetados acessem os dados sem permissão, interação ou notificação do usuário.

Leia mais:

Isso significa que hackers possam espionar mensagens privadas ou contornar verificações de segurança, que dependem de códigos enviados por SMS, como a a utenticação de dois fatores.

*Hackers podem ter acesso às mensagens privadas e também informações relacionadas à autenticação de dois fatores. Imagem: Tero Vesalainen/ Shutterstock*

Segundo a Rapid7, a vulnerabilidade está relacionada às alterações feitas pela OnePlus no serviço de telefonia do Android, no qual o Oxygen OS é baseado.

A Rapid7 testou e confirmou a vulnerabilidade nos aparelhos OnePlus 8T e OnePlus 10 Pro com versões do Oxygen OS 12, 14 e 15 instalados. E como a falha atinge um componente do sistema Android, os pesquisadores da empresa acreditam que ela pode afetar qualquer outro dispositivo com as versões citadas do Oxygen OS.

OnePlus 10R — *Empresa reconheceu o problema, mas prometeu uma correção apenas para outubro. Imagem: Divulgação/OnePlus*

Correção será lançada apenas em outubro pela OnePlus

A empresa reconheceu o problema e o detalhou do documento CVE-2025-10184, mas em declaração ao site 9to5Google disse que a correção será disponibilizada apenas em outubro.

Conheça os detalhes técnicos da vulnerabilidade:

Identificador: CVE-2025-10184.
Descrição: Vulnerabilidade de bypass de permissão no provedor de telefonia do OxygenOS.
Sistemas Afetados: OxygenOS 12, 14 e 15.
Severidade: 8.2/10 (alta).
Causa: Combinado de permissões ausentes para operações de gravação em vários provedores de conteúdo e uma injeção SQL cega no método de atualização desses provedores.

Até que a correção seja lançada, é recomendado que apenas aplicativos de fontes confiáveis sejam instalados e que os usuários migrem para aplicativos de mensagens criptografados e não utilizem a autenticação de dois fatores baseada em SMS.