Paul Walmsley, mantenedor da arquitetura, enviou o pacote principal de atualizações RISC-V para o recém-aberto ciclo de desenvolvimento do Kernel Linux 7.0. O grande destaque desta rodada é a implementação do suporte a Control Flow Integrity (CFI) para processos em espaço de usuário (userspace), uma forte camada de segurança projetada para mitigar ataques de execução de código arbitrário. A funcionalidade já passou por testes extensivos junto a fabricantes de hardware e mantenedores de distribuições.
Além da blindagem de segurança, a mudança impacta o desempenho e a estabilidade do sistema. O patch corrige o comportamento de leitura de vetores durante o monitoramento de processos (ptrace), garantindo respostas adequadas quando as extensões não estão ativas. O ganho de performance também foi endereçado: o desenvolvedor propôs uma nova otimização em assembly puro para a função strlen(), acelerando operações essenciais de leitura de strings diretamente na base do sistema.
O que isso significa na prática:
Imagine que a execução de um programa é como um trem andando em trilhos pré-definidos. Hackers costumam explorar falhas para “mudar os trilhos” e desviar o trem para onde eles querem (para executar malwares, por exemplo). O novo recurso de Control Flow Integrity (CFI) funciona como um sistema de tráfego ativo que verifica constantemente se o trem está seguindo a rota original. Se houver um desvio não autorizado, o sistema para o trem e encerra o programa imediatamente, bloqueando o ataque antes que ele cause qualquer dano ao seu dispositivo.
Detalhes da Implementação
As alterações concentram-se no subsistema arch/riscv. A fundação do novo recurso de segurança baseia-se na adoção de duas extensões padrão da ISA (Instruction Set Architecture) do RISC-V: a Zicfiss (responsável pelo Shadow Stack, que espelha o fluxo de retorno de funções de forma protegida) e a Zicfilp (Landing Pads, que validam ramificações indiretas).
Além disso, a atualização moderniza a infraestrutura de desenvolvimento e auditoria. As modificações no ptrace agora garantem a validação estrita dos registradores CSR vetoriais de entrada, retornando o erro ENODATA caso a extensão de vetor esteja inativa. O pacote de Paul também traz o suporte nativo ao code page NLS ISO-8859-1 (uma paridade com o que já ocorre no ARM64) para facilitar a montagem correta de volumes EFI.
Devido à magnitude das alterações, especialmente as relacionadas à segurança de memória e shadow stacks, o patch reflete algumas alterações no tamanho do binário final do Kernel (vmlinux). Abaixo, destacamos o impacto em algumas configurações selecionadas:
| Configuração (RISC-V) | Compilador | Variação de tamanho (Bytes) |
vmlinux.defconfig | GCC-15 | + 15.190 bytes |
vmlinux.rv32_defconfig | GCC-15 | + 4.392 bytes |
vmlinux.defconfig | Clang-20 | + 4.556 bytes |
vmlinux.nommu_virt_defconfig | Clang-20 | – 2.142 bytes |
Quando isso chega no meu PC?
O patch foi aceito e está atualmente na fase de Merge Window. A funcionalidade será ativada no ciclo estável do Kernel Linux 7.0, cujo lançamento é estimado para meados de abril de 2026.
Para que os usuários finais tenham acesso pleno a essa nova camada de proteção contra exploits, os hardwares RISC-V (Placas, SoCs e processadores) precisarão vir de fábrica com as instruções Zicfiss/Zicfilp nativamente habilitadas. A expectativa é que as principais distribuições corporativas, como Ubuntu, Fedora e SUSE, já tragam a integração refinada em seus lançamentos no segundo semestre de 2026.
