Exploit de software da Switch 2 permite modificações em Mario Kart World, mas deixa de funcionar após reiniciar

Uma aplicação de programação abre caminho para a Switch 2

O investigador de segurança Sammy Hajhamid, conhecido online como pepsipu, demonstrou um exploit de software para a Nintendo Switch 2 com o firmware 23.0.1, usando corridas modificadas de Mario Kart World para mostrar o que o acesso permite. Personagens como Cinnamoroll, Hatsune Miku e Peter Griffin apareceram no jogo sem que fosse instalado um modchip de hardware.

A ferramenta, chamada ns2jb, combina uma vulnerabilidade numa aplicação de programação da Switch original com uma falha no serviço de sistema de ficheiros da consola. Hajhamid afirma que permite executar código nativo com as permissões de vários serviços do sistema, abrindo caminho a aplicações não oficiais, modificações de jogos e à cópia de ficheiros de gravação da consola.

A principal limitação é simples: o acesso desaparece quando a consola reinicia. Os utilizadores têm de voltar a ativar o exploit após cada reinício, e este não disponibiliza atualmente firmware personalizado persistente, ou seja, uma versão alternativa do software de sistema da consola que permaneça instalada.

O relato técnico de Hajhamid tem data de 18 de outubro de 2026, enquanto a demonstração pública foi divulgada a 22 de outubro. Identificou a versão 23.0.1 como o firmware mais recente na altura. Segundo o relato, a investigação demorou cerca de duas semanas e envolveu a ferramenta de programação Codex, da OpenAI, além de um trabalho substancial do programador.

A Nintendo ainda não tinha comentado publicamente quando foram publicados os relatos sobre a demonstração. O SmileBASIC 4, a aplicação de programação usada como ponto de entrada, terá sido removido de algumas lojas eShop regionais, tornando o acesso ao software necessário uma preocupação imediata para quem pretenda investigar o exploit.

O que demonstra a modificação de Mario Kart

Mario Kart World proporcionou o resultado mais visível: aos pilotos habituais juntaram-se personagens de fora dos jogos da Nintendo. As demonstrações incluíram Cinnamoroll, Hatsune Miku, Peter Griffin e RED, o Angry Bird vermelho. Steve, de Minecraft, também apareceu nas descrições do jogo modificado.

A alteração mais significativa acontece por detrás da corrida. A execução de código nativo consiste em executar instruções diretamente no processador da consola, em vez de se ficar limitado aos comandos normalmente permitidos por um jogo ou por uma aplicação de programação. As permissões atribuídas a esse código determinam a que partes da máquina pode aceder.

Hajhamid, investigador de segurança identificado como estudante de licenciatura no Caltech, descreveu as utilizações previstas para esse acesso:

Isto permite-nos executar homebrew, fazer engenharia inversa e modificar jogos da Switch 2, criar cópias de segurança dos ficheiros de gravação da Switch e aceder à maioria dos periféricos da Switch 2 através de MMIO.

Homebrew designa software não oficial, criado fora do sistema de distribuição aprovado pelo fabricante da consola. Engenharia inversa é a análise do funcionamento de software existente. MMIO, abreviatura de memória mapeada de entrada/saída, é uma forma de o software comunicar com o hardware através de endereços de memória específicos.

Estas capacidades são importantes para diferentes grupos por diferentes motivos. Um jogador pode querer uma cópia independente de um ficheiro de gravação, um modder pode querer substituir uma personagem e um investigador pode querer analisar um serviço do sistema. Tudo depende de um acesso que os jogos comuns normalmente não têm.

Como uma aplicação antiga da Switch se torna o ponto de entrada

O SmileBASIC 4 permite aos utilizadores escrever e executar programas na Nintendo Switch original. A Switch 2 consegue executar esse software através da retrocompatibilidade, a funcionalidade que permite que jogos de uma consola anterior funcionem na sua sucessora. Essa ligação deu a Hajhamid um caminho para entrar na nova máquina através de software antigo.

A primeira falha consistia num overflow de inteiro no interpretador do SmileBASIC, o componente que lê e executa comandos de programação. Um overflow de inteiro ocorre quando um cálculo excede o intervalo reservado pelo computador para um número, fazendo com que o resultado passe para outro valor.

Neste caso, um cálculo usado para verificar uma operação sobre um array, uma lista de valores armazenados, podia passar para um número negativo. A verificação aceitava então uma operação que devia ter sido rejeitada. Uma cópia de memória posterior transferia dados para fora da área prevista.

Hajhamid descreveu como usou esse comportamento para fazer o programa tratar uma parte de um array como uma cadeia de caracteres. Essa confusão criou uma forma de ler e alterar memória para além dos limites previstos para o programa. A investigação inicial podia ser feita numa Switch original antes de ser usada como parte da cadeia para a Switch 2.

O SmileBASIC já tinha estado envolvido em exploits de homebrew na Nintendo 3DS. Neste caso, o seu valor específico era permitir que uma aplicação antiga fornecesse a primeira fase de um ataque contra uma consola mais recente.

Uma segunda falha permite aceder ao serviço de ficheiros

O acesso ao SmileBASIC era apenas o início. Hajhamid visou depois o serviço de sistema de ficheiros integrado, conhecido como fs, que gere operações de armazenamento. Era necessário chegar a um serviço com permissões mais amplas para ultrapassar as restrições da aplicação de programação.

A segunda vulnerabilidade estava relacionada com a normalização de caminhos. Um caminho de ficheiro indica ao software onde encontrar algo no armazenamento; a normalização converte esse caminho num formato padrão antes de o sistema o utilizar. Hajhamid descreveu uma situação em que o serviço copiava um caminho para um buffer temporário demasiado pequeno.

Um buffer é uma área de memória reservada. Quando os dados ultrapassam os seus limites, podem sobrepor-se a informação próxima. Hajhamid usou esse overflow para afetar um objeto de cache de armazenamento, criando uma forma de ler e escrever na memória do serviço de ficheiros.

Descreveu depois como alterou a identidade do processo registada para a ligação do SmileBASIC, obtendo permissões mais amplas no sistema de ficheiros. Isso permitiu-lhe copiar o armazenamento interno e o código dos módulos normais do sistema para análise. Os módulos do sistema, ou sysmodules, são serviços que executam tarefas para o sistema operativo.

Segundo Hajhamid, as capacidades resultantes do ns2jb incluem a execução de código nativo como módulos normais do sistema e como módulo integrado do sistema de ficheiros. A cadeia tem, por isso, duas fases distintas: uma abertura inicial através do SmileBASIC e uma segunda vulnerabilidade que concede um acesso mais amplo.

O Codex ajudou, mas o trabalho demorou duas semanas

Hajhamid usou o Codex, da OpenAI, durante a investigação, com uma configuração personalizada que permitia a agentes de IA enviar comandos através dos comandos das consolas e analisar a saída de vídeo. Dispositivos JetKVM ligavam a entrada dos comandos por USB e captavam vídeo por HDMI.

Um mecanismo Bluetooth de interruptor de luz forneceu uma parte invulgar, mas prática, da configuração: premia fisicamente o botão de alimentação da consola após uma falha. Falhas repetidas são uma possibilidade normal neste tipo de investigação de memória, pelo que reiniciar o hardware fazia parte do processo de testes.

Segundo o relato de Hajhamid, o Codex encontrou o overflow de inteiro útil no SmileBASIC. O trabalho também envolveu investigar serviços do sistema, analisar código e desenvolver a cadeia que chegou ao serviço de ficheiros. Hajhamid descreveu ter investigado pessoalmente esse serviço enquanto os agentes de IA exploravam outros alvos.

O programador esclareceu que a legenda humorística sobre simplesmente pedir a uma IA que desbloqueasse a consola não correspondia ao processo real. Uma tentativa inicial de obter execução de código por outra via não teve êxito, e o desbloqueio exigiu um esforço considerável ao longo de cerca de duas semanas.

Hajhamid afirmou que o Codex criou a modificação de Mario Kart World num dia. Isso coloca a demonstração lúdica numa escala temporal diferente da investigação de segurança que a tornou possível: as alterações visíveis às personagens surgiram depois do trabalho mais difícil de obter acesso.

Porque foi abandonada a via do browser

O WebKit, o motor de browser usado na tentativa inicial, foi um dos primeiros alvos por os browsers processarem conteúdos complexos e atraírem frequentemente a atenção dos investigadores de segurança. A configuração de Hajhamid procurou chegar até ele através de um portal cativo Wi-Fi personalizado, do tipo de página que pode surgir quando um dispositivo se liga a uma rede.

A abordagem deparou-se com várias proteções. A memória apenas executável restringe a leitura de instruções executáveis, tornando mais difícil localizar sequências de código úteis. A autenticação de ponteiros verifica determinados endereços antes de serem usados, enquanto a integridade do fluxo de controlo verifica se algumas transferências de execução seguem os percursos permitidos.

O trabalho inicial no browser alcançou uma forma mais limitada de controlo, mas não permitiu a comunicação arbitrária com os serviços do sistema necessária para o desbloqueio pretendido. Hajhamid prosseguiu, por isso, pela via do SmileBASIC, enquanto a investigação do browser continuou em paralelo.

Hajhamid identificou a adaptação do exploit do sistema de ficheiros ao WebKit como uma possível linha de trabalho futuro. Isso poderia proporcionar um ponto de entrada diferente, embora não tenha sido indicada uma data de lançamento para essa versão. Disse também que o exploit tinha sido testado na Switch original, mas ainda não tinha sido preparado para essa consola.

O que os utilizadores precisam e o que se perde ao reiniciar

A via descrita usa o SmileBASIC 4, versão 4.4.9, cujo preço indicado na eShop dos EUA é de cerca de 25 dólares. Outro modder afirmou que o título talvez não fosse estritamente necessário, mas a cadeia demonstrada começa na aplicação de programação. Os requisitos práticos de qualquer via alternativa continuam por esclarecer.

Uma versão experimental japonesa gratuita também despertou interesse, à medida que os utilizadores procuravam formas de obter o software. Segundo os relatos, era incompatível com o exploit. A versão experimental e a versão paga têm, portanto, utilidades diferentes para este método específico.

O ns2jb é descrito como dependente de ligação. Neste caso, isso significa que o exploit tem de ser novamente iniciado a partir de um jogo após cada arranque da consola. O reinício apaga da memória o exploit ativo e repõe os processos afetados no estado normal.

Um exploit de software e um firmware personalizado persistente proporcionam formas de acesso diferentes. O ns2jb altera o que pode ser executado durante uma sessão ativa. Um firmware personalizado persistente exigiria outro mecanismo, que continuasse a funcionar após os reinícios.

As instruções atuais também são descritas como difíceis de seguir para um jogador comum. O público imediato são, por isso, investigadores e modders com conhecimentos técnicos, e não todos os proprietários que pretendam um menu simples para instalar aplicações não oficiais.

A resposta da Nintendo e o calendário de divulgação

A disponibilidade do SmileBASIC 4 tornou-se uma preocupação pouco depois da demonstração. Alguns utilizadores terão comprado a aplicação e desligado as consolas da Internet por receio de que uma atualização fechasse a porta de entrada. Os relatos publicados na altura do anúncio referiam uma remoção prevista ou a aplicação já desaparecida de algumas lojas regionais.

Nesses relatos, a Nintendo ainda não tinha divulgado uma explicação oficial nem anunciado uma atualização corretiva. A extensão das remoções comunicadas, incluindo as regiões afetadas, não foi confirmada. Retirar uma aplicação de venda limitaria novas compras; uma atualização do sistema ou do software corrigiria o código vulnerável por outra via.

As datas referidas no anúncio e no relato técnico são:

• 18 de outubro de 2026: o relato técnico de Hajhamid foi publicado com essa data e identificou o ns2jb como um exploit de software para o firmware 23.0.1.
• 22 de outubro de 2026: Hajhamid partilhou publicamente a demonstração de Mario Kart World e anunciou o desbloqueio.
• Por volta do anúncio de 22 de outubro: os utilizadores discutiram a compra do SmileBASIC 4, enquanto os relatos referiam possíveis remoções, ou remoções já concretizadas, de lojas eShop regionais.

O programador Geziné, que tinha divulgado uma vulnerabilidade distinta que afetava ambas as gerações da Switch, afirmou ter falado com pepsipu e que a ferramenta parecia legítima. Geziné disse também que pepsipu tinha conhecimento de um exploit de modo de utilizador separado que tinha desenvolvido.

Hajhamid descreveu o ns2jb como o primeiro exploit deste género para a Switch 2 de que tinha conhecimento. A sua contribuição imediata é proporcionar uma via funcional para investigação de software mais aprofundada e modificação de jogos, com limitações claras quanto à persistência e à facilidade de utilização.

Pontos-chave

• Segundo os relatos, o ns2jb funciona com o firmware 23.0.1 da Switch 2 sem um modchip de hardware.
• A cadeia demonstrada combina uma falha de memória no SmileBASIC com uma vulnerabilidade no serviço de ficheiros.
• Sammy Hajhamid, conhecido como pepsipu, usou o Codex, da OpenAI, durante cerca de duas semanas de investigação.
• As demonstrações de Mario Kart World incluíram personagens personalizadas como Cinnamoroll, Hatsune Miku e Peter Griffin.
• O exploit desaparece após um reinício e não disponibiliza atualmente firmware personalizado persistente.
• O ponto de entrada descrito usa o SmileBASIC 4, versão 4.4.9; foram comunicadas remoções de lojas regionais, enquanto a Nintendo ainda não tinha comentado publicamente.