O que aconteceu (alto nível, sem jargão)

Uma falha de segurança no stack de chamadas de voz (VoIP) do WhatsApp permitia que um invasor enviasse pacotes especialmente formatados para o seu número e, sem você atender, pudesse executar código no aparelho. Em termos simples: versões desatualizadas do app podiam ser usadas para espionar o usuário (instalar spyware, acessar sensores, etc.), dependendo do ataque. O WhatsApp corrigiu o problema por meio de atualizações lançadas logo após a descoberta e recomendou que todos atualizassem o app o quanto antes.

Gravidade, CVE e status

• CVE principal: CVE-2019-3568 (estouro de buffer no VoIP).
• Impacto potencial: execução remota de código (RCE) ao receber uma chamada maliciosa.
• Gravidade: classificada como alta/crítica em bancos de vulnerabilidades públicos (CVSS elevado).
• Exploração ativa: o caso entrou em catálogos oficiais de falhas “exploradas no mundo real”, o que reforça a necessidade de manter o app atualizado.

Observação: só considere “explorado ativamente” quando a confirmação vier de fontes oficiais (catálogos de KEV/autoridades ou comunicados do WhatsApp/Meta).

Versões e plataformas afetadas (conforme advisories)

A correção saiu há anos, mas continua relevante porque aparelhos antigos às vezes ficam parados em builds vulneráveis. Pelas informações públicas do próprio WhatsApp/Meta:

• Android (WhatsApp): versões anteriores à 2.19.134 eram vulneráveis.
• Android (WhatsApp Business): anteriores à 2.19.44.
• iOS (WhatsApp e Business): anteriores à 2.19.51.
• Windows Phone: anteriores à 2.18.348.
• Tizen: anteriores à 2.18.15.

Se o seu aparelho roda algo abaixo desses números, o risco é real — atualize imediatamente. Em iOS e Android modernos, as versões atuais já estão protegidas, desde que você mantenha o app sempre no último release.

Linha do tempo (resumo)

• Descoberta/abuso: detecções vieram a público em maio/2019, com indícios de uso direcionado.
• Correção: o WhatsApp publicou atualizações de emergência em poucos dias, com builds mínimos seguros (veja acima).
• Recomendações: a Meta orientou todos os usuários a atualizar e manter sistemas e apps em dia.
• Desdobramento: autoridades de cibersegurança incluíram o CVE correspondente em listas de falhas exploradas que exigem atenção de TI.

Quem foi afetado

• Usuários com versões antigas do WhatsApp (abaixo das versões seguras).
• Alvos de alto valor (jornalistas, ativistas, executivos) foram citados em reportagens na época, mas qualquer usuário desatualizado podia ser explorado.
• WhatsApp Web/desktop: não há indicação de que o mesmo vetor (VoIP móvel) se aplicasse ao cliente web; de todo modo, mantenha o desktop atualizado.

Dica: a criptografia de ponta a ponta continua valendo — a falha explorava o aparelho (sistema/app) e não “quebrava” a criptografia entre você e seu contato.

Como se proteger agora

1. Atualize o WhatsApp para a versão mais recente pela loja oficial (Google Play/App Store).
2. Ative atualizações automáticas do app e do sistema (Android/iOS).
3. Confira a sua versão (passo a passo abaixo) e compare com os mínimos seguros.
4. Evite APKs de origem desconhecida e lojas paralelas.
5. Ative a verificação em duas etapas (PIN do WhatsApp) e revise permissões do app (microfone/câmera/localização).
6. Atualize o sistema (firmware) e os outros apps — vulnerabilidades costumam se encadear.
7. Em ambientes corporativos, exija versão mínima via MDM (veja orientação para empresas).

Verifique sua versão (Android e iOS)

Android

• Abra WhatsApp → ⋮ (menu) → Configurações → Ajuda → Dados do app.
• Veja Versão. Se for 2.19.134 ou acima (e, idealmente, a mais recente disponível), você está protegido contra o CVE-2019-3568.
• Para atualizar: Play Store → WhatsApp → Atualizar. Ative Atualização automática nas configurações da Play Store.

iPhone (iOS)

• Abra Ajustes do iPhone → Geral → Armazenamento do iPhone → WhatsApp ou WhatsApp → Configurações → Ajuda (quando disponível) para ver a versão.
• O mínimo seguro histórico foi 2.19.51 — hoje, use sempre a última.
• Para atualizar: App Store → Perfil (canto superior) → Atualizar Tudo ou procure WhatsApp e toque em Atualizar.
• Em Ajustes → App Store, ative Atualizações automáticas.

Se você usa Windows/Tizen ou aparelhos muito antigos, verifique na loja do sistema se há atualizações; quando o sistema não é mais suportado, pode ser hora de trocar de dispositivo.

Limitações e o que não fazemos aqui

• Sem PoC: não publicamos passos de exploração, payloads ou indicadores que facilitem abuso.
• Sem inventar versões/datas: onde o fabricante não detalha, marcamos como não informado oficialmente.
• Sem “caça” a vítimas: não há método simples para saber se você foi alvo; ataques eram direcionados.

Perguntas comuns

1) O backup no iCloud/Google Drive é afetado?
O backup não é o vetor desta falha. Ainda assim, ative criptografia de ponta a ponta do backup nas configurações do WhatsApp para proteger o conteúdo.

2) O WhatsApp Web foi atingido?
O vetor envolvia o VoIP no app móvel. Não há evidência pública de que o Web sofresse o mesmo risco. Mantenha todos os clientes atualizados.

3) A criptografia ponta a ponta foi “quebrada”?
Não. A falha visava o dispositivo. A E2EE continua intacta; o risco vinha do código executado no aparelho comprometido.

4) Como saber se fui alvo?
Ataques desse tipo costumam ser discretos. Sinais genéricos (aquecimento anormal, bateria drenando, processos estranhos) não provam nada. Se você é alvo de alto risco, busque suporte especializado.

5) Como atualizo em ambiente corporativo?
Use MDM/UEM para bloquear versões antigas, exigir lojas oficiais, e aplicar política de mínimo seguro (ver seção de versões).

6) E quem ainda usa versões muito antigas do Android/iOS?
Sistemas fora de suporte deixam o app vulnerável. Avalie substituir o aparelho para manter patches e o WhatsApp compatível.

Orientação para empresas (MDM/UEM)

• Defina versão mínima do WhatsApp: bloqueie builds abaixo dos mínimos seguros e force autos-update.
• Permita só lojas oficiais (Google Play/App Store) e bloqueie APKs externos.
• Audite permissões (câmera/microfone) e sensores conforme política interna.
• Comunique colaboradores sobre riscos de não atualizar e crie um canal interno para dúvidas e incidentes.

Box — Como se proteger agora

• Atualize o WhatsApp pela loja oficial (Play/App Store).
• Compare sua versão com os mínimos seguros (2.19.134 Android / 2.19.51 iOS).
• Ative atualizações automáticas do app e do sistema operacional.
• Ative verificação em duas etapas no WhatsApp.
• Evite APKs e lojas paralelas; use só loja oficial.
• Revise permissões do app (microfone/câmera/localização).
• Se for empresa: aplique política de versão mínima via MDM.

Box — Verifique sua versão (caminho rápido)

• Android: WhatsApp → Configurações → Ajuda → Dados do app → “Versão”.
• iOS: App Store → Perfil → atualizações pendentes ou ver a versão dentro do app (em Ajuda).
• Números mínimos históricos: 2.19.134 (Android) / 2.19.51 (iOS). Hoje, use sempre a versão mais recente.