Pesquisadores da empresa Nebula Security divulgaram os detalhes técnicos e os exploits funcionais de 18 vulnerabilidades que afetavam o Kernel Linux. As falhas, que já foram mitigadas no upstream, permitem que um usuário local sem privilégios consiga escalar seus acessos e obter controle total (root) sobre o sistema operacional.
As correções para todos os problemas listados foram aplicadas de forma gradual nas manutenções do kernel lançadas ao longo dos últimos meses. A divulgação pública dos exploits ocorre agora para dar tempo aos mantenedores de distribuições e administradores de sistemas aplicarem os patches de segurança.
O que isso significa na prática
Embora o número de vulnerabilidades chame a atenção, é fundamental compreender a diferença entre acesso remoto e acesso local. Nenhuma dessas 18 falhas permite que um invasor externo entre no seu servidor ou computador pela internet sem autenticação.
Para explorar as brechas, o atacante precisa de uma porta de entrada prévia. Isso significa que ele já deve ter uma conta de usuário restrita no sistema ou precisa convencer o administrador a executar um código malicioso inicial. Uma vez dentro da máquina, o exploit é utilizado para romper o isolamento do usuário comum e assumir o controle total da infraestrutura, burlando os limites de permissão.
Subsistemas afetados e natureza das falhas
Em vez de focar apenas no número de CVEs, a análise dos componentes afetados revela que as vulnerabilidades se concentram fortemente na pilha de rede e no gerenciamento de memória do Kernel Linux. A maioria dos problemas deriva de falhas do tipo “use-after-free” (uso após liberação de memória), condições de corrida e estouro de buffer.
Os principais vetores de ataque incluem:
Pilha de rede e protocolos
A maior parte das falhas reside em componentes de rede. O protocolo SCTP acumulou três vulnerabilidades que permitiam corrupção de memória. O subsistema IPVS (IP Virtual Server) apresentava um erro de ponteiro solto na tabela de hash, enquanto o túnel IPv6 (ip6_tunnel) sofria com gravação fora dos limites do buffer devido ao cálculo incorreto de cabeçalhos. O protocolo B.A.T.M.A.N. registrou uma falha de estouro de inteiro que resultava em estouro de buffer.
Uma falha de destaque nesta categoria recebeu o nome de ZcopyReaper (CVE-2026-43502). Ela afeta o protocolo RDS (Reliable Datagram Sockets) em operações zerocopy e exige apenas que o kernel tenha sido compilado com opções de rede comuns, sem necessidade de privilégios de namespace.
Filtros, túneis e pontes
O módulo nf_queue do netfilter continha falhas graves de uso após liberação ligadas ao tratamento incorreto de pacotes após a exclusão de uma ponte de rede. Problemas semelhantes foram mapeados no módulo IPSec XFRM, no subsistema openvswitch e no mecanismo MPLS, este último vulnerável a uma condição de corrida durante a leitura e modificação de tabelas de roteamento.
I/O e processamento central
Fora do escopo estrito de rede, o subsistema io_uring apresentou uma vulnerabilidade de interpretação de variáveis atômicas que levava a corrupção de memória. O SysV IPC e o posix-cpu-timer também registraram falhas de uso após liberação ocasionadas por ponteiros pendentes e condições de corrida durante o gerenciamento de threads.
Os códigos dos CVEs são os listados abaixo:
- CVE-2026-80714
- CVE-2026-74597
- CVE-2026-74581
- CVE-2026-74480
- CVE-2026-72255
- CVE-2026-72137
- CVE-2026-68376
- CVE-2026-68162
- CVE-2026-64560
- CVE-2026-63834
- CVE-2026-52933
- CVE-2026-52929
- CVE-2026-52924
- CVE-2026-52923
- CVE-2026-52912
- CVE-2026-43502
- CVE-2026-43501
- CVE-2026-43074
- CVE-2026-43042
- CVE-2026-31678
- CVE-2026-31659
- CVE-2026-23274
Provas de conceito e sistemas testados
Para comprovar a gravidade das vulnerabilidades, a Nebula Security desenvolveu exploits e demonstrou a eficácia dos ataques em sistemas atualizados com distribuições modernas.
Os testes confirmaram o ganho de privilégios root em versões recentes do openSUSE, Debian 13, RHEL 10, Ubuntu 26.04, Fedora Linux 44, CentOS e Arch Linux, rodando séries do Kernel Linux que variavam da versão 6.4 até a 7.0. O escopo também alcançou plataformas móveis, com uma demonstração de escalonamento de privilégios bem-sucedida em um dispositivo Google Pixel rodando Android.
Administradores de sistemas, ambientes corporativos e usuários finais devem garantir que suas distribuições estejam com os pacotes do sistema atualizados para receber as mitigações liberadas no upstream.
