Um patch de segurança já foi publicado para um novo bug do kernel Linux, chamado Bad Epoll (CVE‑2026‑46242), que permite que um usuário comum, sem privilégios especiais, obtenha controle total como root. O erro foi identificado na semana passada e já está sendo explorado em ambientes de produção, inclusive em dispositivos Android que utilizam kernels baseados em versões recentes do Linux. A correção, que pode ser aplicada usando os pacotes oficiais de distribuição, já está disponível para as principais distribuições como Ubuntu, Debian, Fedora e CentOS.

A vulnerabilidade foi descoberta por pesquisadores de segurança de código aberto que analisaram o código do kernel em busca de pontos de contenção de chamadas de sistema. A falha reside em um trecho pequeno de código que lida com a interface epoll, uma API de multiplexação de eventos que permite que aplicações monitorem múltiplos descritores de arquivo simultaneamente. Em particular, o bug czerwoność a condição de corrida que permite a execução de código Uranio dentro do contexto de usuário, sem a necessidade de elevar privilégios.

Para entender o impacto, imagine um cenário típico: um usuário comum abre um terminal e executa um comando que, por algum motivo, passa por uma rotina que utiliza epoll. Se o kernel contiver a falha, o usuário pode enganar o kernel para que ele execute uma cadeia de instruções que, ao final, cria um usuário root ou executa código com privilégios elevados. Isso significa que, a partir de um ponto de entrada como um processo em execução normal, um atacante pode ganhar controle completo sobre a máquina.

No Brasil, a implicação é ampla. O país possui um grande número de servidores Linux que hospedam serviços críticos, como bancos de dados de instituições financeiras, servidores de e‑commerce, e infra‑estrutura de telecomunicações. Além disso, muitos dispositivos Android, que usam kernels Linux, podem ser comprometidos. A LGPD (Lei Geral de Proteção de Dados) impõe obrigações rigorosas sobre o tratamento de dados pessoais, e a exploração de uma vulnerabilidade de escalonamento de privilégios pode levar à exposição de dados sensíveis, violando a legislação e acarretando multas de até R$ 50 milhões.

A situação também afeta os usuários domésticos que utilizam desktops Linux. Em um cenário de home office, por exemplo, se um usuário comum obtiver acesso root, ele pode instalar backdoors, minerar criptomoedas, ou alterar configurações críticas do sistema, comprometendo a privacidade e a segurança de arquivos pessoais.

Do ponto de vista técnico, o Bad Epoll explora uma condição de corrida que ocorre quando o kernel processa eventos de epoll em paralelo com chamadas de sistema que manipulam descritores de arquivo. Em particular, o kernel não valida corretamente o ponteiro de retorno de uma chamada interna, permitindo que um atacante injetar código no espaço do usuário que será executado com privilégios de kernel. O ataque não requer autenticação, nem privilégios de administrador, e pode ser desencadeado com um simples comando que cria um descritor de arquivo e o registra em um epoll.

A correção envolve adicionar verificações de validade de ponteiros e reconciliar o estado do epoll antes de permitir que o kernel troque de contexto. Além disso, o patch introduz uma rotina de sanitização que impede que descritores de arquivo mal formados sejam processados. Os desenvolvedores recomendam aplicar a última versão do kernel (em geral, 6.10 ou superior) em todos os sistemas afetados.

O que os usuários e administradores devem fazer agora é simples: verificar a versão atual do kernel com o comando.authorization e, se ainda não estiver na versão corrigida, atualizar imediatamente usando o gerenciador de pacotes da distribuição. Para dispositivos Android, a recomendação é instalar a última atualização de segurança disponível, que já inclui o patch. Em ambientes corporativos, equipes de TI devem revisar logs de eventos epoll e monitorar por padrões anômalos que possam indicar exploração.

Nos próximos dias, é provável que haja aumento de tentativas de exploração em ambientes de produção, já que atacantes podem aproveitar o bug conhecido antes que a correção seja adotada em larga escala. A comunidade de segurança também pode lançar ferramentas de detecção que analisam chamadas epoll em tempo real para identificar padrões suspeitos. Para os administradores, manter backups atualizados e configurar políticas de acesso mínimo continuará sendo a melhor defesa contra este e futuros vetores de ataque.

Fonte: TheHackerNews