O robô quadrúpede Unitree Go2 tem uma falha de segurança classificada como crítica, registrada como CVE-2026-115995 e publicada em 24 de outubro de 2026. Segundo o registro no National Vulnerability Database (NVD), a falha afeta o Go2 até o firmware 1.1.11.4 e está no componente chat_go, na função set_volume do arquivo gpt_thread.py: a manipulação do argumento de valor pode levar a injeção de comando no sistema operacional, com ataque remoto.
A correção indicada
A correção indicada no registro é atualizar para o firmware 1.1.11.5. O próprio registro do NVD informa que o fornecedor confirmou que o relato corresponde ao seu ticket interno nº 474, sobre essa injeção de comando no módulo de chat do Go2. A recomendação prática é verificar a versão instalada, aplicar a atualização pelo canal de suporte do fornecedor e confirmar a versão após o procedimento.
Gravidade e o que ainda não está confirmado
Quanto à gravidade, há uma diferença de escala entre as fontes que vale registrar com transparência: o NVD exibe o vetor CVSS 4.0 de 9,4 atribuído pela CNA VulDB, enquanto outros agregadores listam 9,6 no CVSS 3.1. Nos dois casos, a classificação é crítica. Até 25 de outubro, os agregadores consultados não indicavam exploração pública confirmada nem inclusão na lista de vulnerabilidades exploradas da CISA (KEV) — uma informação reportada por esses agregadores, não uma garantia de que o risco não exista.
O que fazer agora
Como medida adicional, até concluir a atualização, vale restringir o acesso ao robô e à sua rede de controle apenas a operadores autorizados e evitar expor interfaces de gerenciamento a redes não confiáveis. A falha não deve ser tratada como um problema teórico: em um robô com capacidade de movimento e de interação por voz, um comando indevido no sistema pode afetar confidencialidade, integridade e disponibilidade, como descreve o registro.
Na prática, a injeção de comando significa que uma entrada mal tratada pode ser interpretada pelo sistema como um comando, e não apenas como um dado. O registro da VulDB indica ainda que a exploração exigiria algum tipo de interação da vítima — um detalhe que não elimina o risco, mas ajuda a entender que não se trata de um acesso automático e silencioso em todos os cenários. Por isso, a prioridade continua sendo a atualização, e não apenas a mudança de hábitos de uso.
Leitura relacionada no Geekiki: Unitree liga GPT-6 a robôs sem treino extra e prevê virada da IA física em 1 a 3 anos.
Crédito da imagem: imagem do Unitree Go2 no Wikimedia Commons, arquivo "Unitree Go2 of Salvamont front view.jpg".
Fontes: NVD — CVE-2026-115995; VulDB — CVE-2026-115995; ThreatRoundup — CVE-2026-115995.
Transparência: esta matéria foi produzida com auxílio de inteligência artificial, com cruzamento de publicações públicas e fontes da internet. Consulte as fontes originais para confirmar os detalhes antes de aplicar qualquer atualização.
Muse
