A semana em que o caminho para root local se abriu de uma vez — LPEs do kernel Linux entram no catálogo KEV da CISA enquanto exploits públicos aparecem
Em 18 de setembro, a CISA adicionou 3 falhas do kernel Linux exploradas ativamente (CVE-2025-39682, CVE-2026-53266, CVE-2025-39964) ao catálogo KEV, e a Red Hat confirmou que existe código de exploit público. No mesmo dia, exploits funcionais para 4 LPEs de kernel (DirtyAH6, TUNderflow, PPPoEject, DiagSpill) foram publicados sob divulgação coordenada. Examinamos por que a escalada de privilégios em hosts compartilhados segue os appliances de fronteira para o centro da atenção.
Este artigo foi traduzido por máquina.
Em 18 de setembro de 2026, a CISA adicionou 3 vulnerabilidades do kernel Linux ao seu catálogo Known Exploited Vulnerabilities (KEV) com base em evidência de exploração ativa: CVE-2025-39682 (CVSS 9.8, uma verificação de condição inadequada no caminho de recebimento TLS do kernel, que permite divulgação de memória ou negação de serviço), CVE-2026-53266 (CVSS 8.8, uma escrita fora dos limites no caminho de reescrita ARP do SNAT das ebtables da bridge netfilter, que permite escalada local de privilégios) e CVE-2025-39964 (CVSS 7.8, uma race condition que permite escritas concorrentes no mesmo socket AF_ALG). As agências civis federais tiveram até 21 de setembro para aplicar as correções. Para nenhuma das 3 a CISA publicou detalhes de campanha ou atribuição de ator de ameaça, e permanece por esclarecer se formam uma única cadeia de ataque. O que se sabe: a Red Hat atualizou os advisories das 3, com data de 19 de setembro, para afirmar que o CVE é de alto risco e que existem exploits públicos conhecidos, pedindo remediação com alta prioridade (conforme The Hacker News, a CISA e a Red Hat).
No mesmo dia, uma corrente distinta ampliou a superfície de ataque do kernel. O pesquisador de segurança Asim Manizada tinha comunicado 4 falhas de escalada local de privilégios (LPE) ao grupo de segurança do kernel Linux em meados de julho — DirtyAH6 (CVE-2026-80844, IPsec AH6), TUNderflow (CVE-2026-81000, dispositivos de rede virtual TUN/TAP), PPPoEject (CVE-2026-68121, PPPoE) e DiagSpill (CVE-2026-74469, sctp_diag do SCTP). Em 18 de setembro, após uma retenção coordenada para que as distribuições pudessem publicar as correções, ele publicou textos técnicos com exploits funcionais. As 4 estão corrigidas nos kernels atuais e não há relatos de uso real. Mas 3 das 4 — DirtyAH6, TUNderflow, PPPoEject — pressupõem que as unprivileged user namespaces estejam ativadas, funcionalidade que muitas distribuições ativam por padrão; a quarta, DiagSpill, não exige privilégio especial algum, desde que o módulo SCTP esteja disponível (conforme a cobertura de The Hacker News).
Análise (separada do relato factual): a chegada no mesmo dia das duas histórias marca uma mudança de ênfase da 'entrada' para 'o que vem a seguir'. Na semana passada, este observatório tratou o comprometimento root de appliances de fronteira expostos à internet — Cisco ISE e o Secure Email Gateway. Os appliances de fronteira são alcançáveis por desenho, de modo que a pergunta 'está exposto?' responde-se sozinha; as falhas de kernel desta semana são todas local-first (o disparo remoto é estreito e centrado em crash). O que importa, do ponto de vista de um atacante, é o menu crescente de caminhos desde um ponto de apoio inicial num host compartilhado até root. Hosts de containers, runners de CI, servidores multi-tenant e ambientes de carga de trabalho de IA são todos ativos cuja premissa de operação é 'várias partes têm aqui shells de baixo privilégio' — cada exploit público que surge baixa o custo do movimento lateral. Os exploits publicados, segundo o relato, exigem ajuste a builds específicos do kernel e podem provocar o crash da máquina; isso é uma afirmação sobre o custo de desenvolvimento, não sobre a exploitability.
Implicações defensivas: (1) As 3 entradas do KEV estão sujeitas aos requisitos de triagem forense do BOD 26-04 da CISA, não apenas à correção — rever logs em busca de comprometimento anterior à correção é a linha de base. (2) As user namespaces são essenciais para muitas cargas de trabalho, mas, em servidores que não precisam delas, desativá-las merece avaliação: 3 das 4 novas LPEs pressupõem esta única definição padrão, o que mostra quanto da superfície de ataque do kernel depende de uma escolha de configuração. (3) Em hosts compartilhados, inventarie a própria estrutura — isolamento de tenants, runners de CI de curta duração, isolamento de cargas de trabalho de IA — em paralelo à correção por CVE, porque 'uma pessoa obtém root e todos perdem' é uma propriedade do desenho, não um nível de patch. (4) Como o comprometimento em kernel space é invisível para agentes em user space, complementar com detecção em runtime baseada em eBPF e com monitoração da integridade do kernel é uma opção realista. Os dados factuais aqui apoiam-se no alerta KEV da CISA (https://www.cisa.gov/news-events/alerts/2026/09/18/cisa-adds-two-known-exploited-vulnerabilities-catalog), na cobertura de The Hacker News sobre as adições ao KEV (https://thehackernews.com/2026/09/cisa-flags-three-linux-kernel.html) e sobre as 4 divulgações de LPE (https://thehackernews.com/2026/09/public-exploits-released-for-four-linux.html) e no advisory da Red Hat (https://access.redhat.com/security/cve/cve-2025-39682). A análise é mantida separada do relato.