Samsung Internet: sua atualização de segurança mensal nunca chega até ele

Uma vez por mês, a mesma notificação. Atualização de software disponível, algumas centenas de megabytes, reinicie. Depois disso, o menu exibe uma data atualizada ao lado do patch de segurança, e o assunto parece resolvido.

Para a maior parte do sistema, isso é verdade. Em julho, a atualização da Samsung foi enviada primeiro para os modelos mais recentes.

Um dos componentes mais importantes do dispositivo nunca recebe esse patch. O navegador pré-instalado obtém suas atualizações de outro lugar, por meio da Play Store e da Galaxy Store. Duas rotas distintas, e apenas uma delas é anunciada a você.

Não é possível determinar externamente qual é a versão atual do núcleo desse navegador. Não porque ninguém se importe, mas porque a Samsung não publica essa informação para o Android há mais de dois anos.

A importância desse número fica clara quando se analisa o que há dentro desse navegador.

O navegador da Samsung não foi desenvolvido do zero. Ele se baseia no Chromium, a plataforma de código aberto na qual também se baseiam o Google Chrome, o Edge e o Opera. Uma parte dele é chamada de V8 e executa JavaScript, o código de programa presente em praticamente todos os sites. Falhas no V8 são, portanto, particularmente problemáticas; basta abrir uma página já preparada.

Essas falhas são identificadas e corrigidas e, uma vez corrigidas, são documentadas publicamente, com descrição incluída. Qualquer pessoa que queira atacar um dispositivo que ainda não tenha recebido a correção não precisa descobrir nada de novo. Basta consultar a documentação. O setor chama isso de “N-day”, em oposição a um “zero-day”, que ainda não é do conhecimento de ninguém.

Como isso funciona na prática foi demonstrado pela empresa de segurança OtterSec em 1º de abril de 2026, em parceria com o grupo Crusaders of Rust. Para chegar lá, os pesquisadores tiveram que fazer exatamente o que um usuário comum não consegue. Eles extraíram o aplicativo do navegador de um Galaxy S25 e procuraram o número da versão nos arquivos do programa. O que encontraram foi o V8 13.6, que já tinha meio ano naquele momento.

Em seguida, criaram um ataque a partir de uma falha que o Google já havia corrigido há muito tempo no Chrome. No final, conseguiram rodar seu próprio código de máquina dentro do navegador e executar código externo em nome de sites arbitrários. Uma página preparada poderia ter acessado o conteúdo de outras páginas abertas dessa forma, como uma caixa de e-mail, por exemplo, ou uma conta em uma loja online.

Essa última etapa só funcionou porque o Android isola o navegador de maneira menos rigorosa do que um computador. Em um PC, praticamente todo site recebe seu próprio processo. No Android, apenas páginas com login e algumas especialmente marcadas recebem. O restante compartilha um único processo.

A pesquisa em segurança tem um nome específico para essa lacuna: “patch gap” — o intervalo entre o momento em que uma falha é corrigida a montante no projeto Chromium e o momento em que a correção chega a jusante ao usuário. Enquanto esse intervalo durar, um conjunto de instruções permanece exposto, enquanto o dispositivo ainda está vulnerável. No próprio Chrome, esse intervalo se reduz a dias, pois o Google desenvolve e distribui o mesmo código. Com um navegador mantido por um fornecedor diferente e distribuído por um canal distinto, tudo depende da rapidez com que esse fornecedor adota a correção.

Essa falha específica já foi corrigida. O que permanece em aberto é tudo o que veio depois dela.

Para este artigo, tentamos responder à pergunta por conta própria. Qual versão do Chromium a Samsung fornece atualmente para um Galaxy?

Não há uma resposta clara. Os identificadores de navegador coletados publicamente — as sequências de caracteres que os dispositivos utilizam para se identificarem online — contradizem-se entre si para uma mesma versão do aplicativo. Alguns indicam uma base de dezembro de 2025, outros, uma muito mais recente. Coleções como essas também contêm entradas falsificadas e geradas automaticamente, portanto não constituem prova.

Isso nos leva ao fabricante, e, no caso do Android, o fabricante não se pronuncia. As notas de atualização sugerem que a Samsung incorpora correções em sua própria compilação; há regularmente uma menção sobre falhas de segurança corrigidas. Quais são elas, não é informado.

Isso não é um detalhe insignificante. Em 8 de junho de 2026, o Google corrigiu uma falha no V8, classificada como de alta gravidade, e observou que uma exploração para ela já estava em circulação. Se e quando essa correção foi incorporada ao navegador da Samsung não está documentado publicamente.

Para a versão do mesmo navegador para Windows, a resposta levaria dois minutos. A Samsung divulga essa informação em sua própria página.

Em termos práticos, isso não significa que todos os aparelhos Galaxy estejam expostos. Significa que ninguém fora da Samsung pode verificar se estão. Para um programa que abre conteúdo externo da internet diariamente e vem pré-instalado em várias centenas de milhões de dispositivos, essa diferença é maior do que parece.

Verificar qual versão está em execução no seu próprio dispositivo leva meio minuto. Na tela inicial ou na gaveta de aplicativos, mantenha pressionado o ícone do navegador e, em seguida, geralmente toque em um pequeno “i”. As informações do aplicativo mostram o número da versão. A entrada na Play Store exibe o mesmo valor.

A existência de uma atualização pendente também é exibida na Play Store ou na Galaxy Store. Se houver um botão para atualizar, significa que algo mudou.

O que esse número revela sobre a base Chromium subjacente permanece em aberto. Esse é exatamente o ponto.

Quem achar isso muito vago pode instalar um segundo navegador. O Chrome e o Firefox vêm diretamente de seus fabricantes, indicam o número da versão no menu e atualizam sua base de forma independente do cronograma da Samsung. Eles podem ser definidos como padrão nas configurações do Android, na seção de aplicativos padrão.

Quem quiser continuar usando o navegador da Samsung — e há bons motivos para isso, entre eles o bloqueador de anúncios integrado e a integração com o Samsung Pass — deve, no mínimo, manter as atualizações automáticas ativadas na loja. Assim, todas as versões lançadas pela Samsung serão instaladas sem que seja necessária qualquer ação. Não há mais controle a ser exercido neste momento.

A atualização mensal continua sendo importante. Ela corrige falhas no sistema que nenhuma atualização de navegador consegue resolver. Simplesmente não é responsável por tudo no dispositivo que se conecta à internet.