A Samsung publicou, em 8 de setembro de 2026, o boletim SMR-SEP-2026, o pacote mensal de correções de segurança para os aparelhos Galaxy. Ao todo, 90 vulnerabilidades foram fechadas nesta rodada, e duas delas, classificadas como críticas, estão ligadas à forma como o sistema lê arquivos de imagem, DNG e JPEG. Veja o que o boletim corrige, por que essas duas falhas pesam mais que as outras e como conferir se o seu aparelho já recebeu a atualização.
O boletim SMR-SEP-2026 da Samsung (publicado em 8/9) corrige 90 falhas nos Galaxy: 59 vêm do boletim geral do Google (18 críticas, 41 altas) e 31 são próprias da Samsung (SVE), das quais 2 são críticas, estouros de buffer nos decodificadores de DNG e JPEG que podem permitir execução remota de código. Confira em Configurações > Sobre o telefone > Informações de software se o seu aparelho já está no nível de patch de setembro.
O essencial
- Fonte: boletim oficial em security.samsungmobile.com (SMR-SEP-2026)
- Publicado em: 8 de setembro de 2026
- Falhas corrigidas nos Galaxy: 90 (59 do Google + 31 próprias da Samsung)
- Críticas: 20 no total (18 do boletim do Google + 2 SVE da Samsung, as dos decodificadores de imagem)
- À parte: 1 falha alta no Samsung Semiconductor, ligada ao Exynos
O que o boletim de setembro corrige
Todo mês a Samsung publica, em security.samsungmobile.com, o próprio detalhamento de segurança dos aparelhos Galaxy, batizado de SMR (Samsung Maintenance Release). O documento se divide em duas partes: as falhas que já vinham do boletim geral do Android (publicado pelo Google em source.android.com) e que se aplicam ao chipset usado nos Galaxy, mais as falhas que são exclusivas da própria camada Samsung, chamadas de SVE (Samsung Vulnerabilities and Exposures).
No ciclo de setembro, o Google avaliou 72 CVEs no boletim geral; a Samsung aplicou 59 deles aos Galaxy (18 críticos e 41 de severidade alta), porque os outros 13 não se aplicam aos chipsets que a marca usa. Somando a isso as 31 falhas SVE próprias (2 críticas, 9 altas e 20 moderadas), o total chega às 90 correções que a Samsung confirma no boletim de setembro. Há ainda um item à parte, fora dessa conta: uma falha de severidade alta no Samsung Semiconductor (CVE-2026-48173), a divisão responsável pelos chips Exynos, tratada num documento próprio de segurança de semicondutores.
Por que as 2 falhas críticas pesam mais
Das 31 falhas SVE deste mês, só duas são classificadas como críticas, e as duas têm a mesma natureza: um estouro de buffer (heap overflow, no termo técnico) dentro da biblioteca que o Android da Samsung usa para decodificar imagens (libimagecodec.quram.so). Uma delas afeta a leitura de arquivos DNG (SVE-2026-3247 / CVE-2026-21095), a outra afeta a leitura de JPEG (SVE-2026-3282 / CVE-2026-21096). Segundo o boletim, as duas podem permitir execução remota de código arbitrário.
Na prática, esse tipo de falha é mais perigoso que a média porque não depende de o usuário clicar num link suspeito ou instalar um aplicativo fora da Play Store: basta o sistema tentar processar um arquivo de imagem malformado, seja recebido por mensagem, baixado ou apenas pré-visualizado, para o ataque em tese funcionar. É por isso que decodificadores de imagem, vídeo e áudio aparecem com frequência entre as falhas mais graves de qualquer boletim mensal de sistema operacional, não só do Android.
Como checar e instalar o patch no seu Galaxy
- Veja o nível de patch atual em Configurações > Sobre o telefone > Informações de software (em alguns modelos aparece direto em Atualização de software).
- Compare com 05/09/2026. Se a data do seu aparelho for anterior a essa, a rodada de setembro ainda não chegou ao seu modelo.
- Force a checagem manual em Configurações > Atualização de software > Baixar e instalar, em vez de esperar a notificação automática.
- Conecte o aparelho ao Wi-Fi e deixe a bateria acima de 50% antes de instalar, pra evitar interrupção no meio do processo.
- Reinicie o aparelho depois da instalação e confira de novo o nível de patch pra confirmar que a atualização foi aplicada.
A Samsung não divulgou, neste boletim, uma tabela pública com a ordem de distribuição por linha de aparelho, como fez em ciclos anteriores. O padrão observado mês a mês é o hardware mais recente receber primeiro, com a atualização descendo aos poucos até os modelos intermediários e mais antigos ainda dentro da política de suporte.
O que isso significa pra você
As 90 correções deste mês não mudam nada visível na tela do seu Galaxy, mas duas delas fecham uma porta que dependia só de o sistema processar uma imagem malformada, sem exigir nenhum clique ou instalação. Como o mecanismo por trás (decodificador DNG/JPEG) é usado toda vez que o aparelho abre ou pré-visualiza uma foto, instalar o patch assim que ele chegar é o jeito mais direto de eliminar esse risco específico, sem precisar entender o restante das 90 falhas técnicas listadas no boletim.
Fontes oficiais
Boletim oficial da Samsung (SMR-SEP-2026): security.samsungmobile.com. Boletim geral do Android, base usada pela Samsung: source.android.com.
🔗 Leia também
Perguntas frequentes
O que é o SMR-SEP-2026, da Samsung?
É o nome que a Samsung dá ao próprio boletim mensal de segurança, o “Samsung Maintenance Release” de setembro de 2026. Publicado em security.samsungmobile.com, ele detalha tanto as falhas herdadas do boletim geral do Android quanto as que são exclusivas da camada Samsung/One UI, chamadas de SVE.
Quantas falhas o patch de setembro corrige nos Galaxy?
90 no total, segundo o boletim oficial da Samsung: 59 vêm do boletim geral do Google (18 críticas e 41 altas, de um total de 72 avaliadas, sendo que 13 não se aplicam aos chipsets usados nos Galaxy) e outras 31 são falhas próprias da Samsung (SVE), sendo 2 críticas, 9 altas e 20 moderadas.
O que são as 2 falhas críticas deste mês?
As duas são estouro de buffer (heap overflow) numa biblioteca de leitura de imagem do próprio Android da Samsung (libimagecodec.quram.so): uma no decodificador de arquivos DNG (SVE-2026-3247 / CVE-2026-21095) e outra no decodificador de JPEG (SVE-2026-3282 / CVE-2026-21096). As duas podem permitir execução remota de código, ou seja, abrir ou pré-visualizar uma imagem malformada poderia ser suficiente para o ataque funcionar.
Isso quer dizer que uma foto pode invadir meu celular?
Em teoria, sim, é esse o risco que um “estouro de buffer no decodificador de imagem” descreve: o sistema tenta processar um arquivo de imagem malformado (DNG ou JPEG) e, no processo, permite que código malicioso seja executado. É exatamente esse tipo de falha que o patch mensal existe pra fechar antes que alguém a explore de verdade.
Existe uma falha separada envolvendo o Exynos?
Sim. O boletim da Samsung lista, à parte das SVE, uma vulnerabilidade de severidade alta no “Samsung Semiconductor” (CVE-2026-48173), a divisão que fabrica os chips Exynos. Ela é tratada num documento próprio de segurança de semicondutores, mas entra no mesmo ciclo de correção de setembro.
Como sei se meu Galaxy já recebeu essa atualização?
Vá em Configurações, Sobre o telefone, Informações de software (o caminho pode aparecer como Atualização de software, dependendo do modelo) e confira o nível de patch de segurança. Se a data mostrada for 05/09/2026 ou posterior, o aparelho já recebeu a rodada de setembro.
Todo Galaxy recebe o patch de setembro na mesma hora?
Não. A própria Samsung confirma que a distribuição é escalonada por modelo e por operadora, então aparelhos mais recentes costumam receber primeiro, e a atualização desce aos poucos até os modelos mais antigos ainda dentro da política de suporte. Não há, no boletim de setembro, uma tabela pública detalhando essa ordem por linha específica.
Quem não é Samsung também é afetado pelas mesmas falhas?
As 31 falhas SVE são específicas da camada Samsung/One UI e não afetam quem usa outra marca. Já as 59 falhas que vêm do boletim geral do Google podem valer para qualquer Android, mas cada fabricante (Motorola, Xiaomi, Google no Pixel) publica e distribui a própria correção no seu próprio ritmo.
Equipe Joga no Google
Redação do Joga no Google, sob responsabilidade editorial de Paloma Guedes Gusmão — redatora e entusiasta da leitura, especializada em transformar informações complexas em conteúdo acessível e relevante. Ela define as pautas e revisa todo o conteúdo antes da publicação. Testamos as ferramentas antes de recomendar e verificamos cada informação em fontes oficiais. Conheça a equipe.
Ver todos os artigos de Equipe Joga no Google →
