Uma vulnerabilidade crítica no kernel Linux está a expor servidores a ataques remotos capazes de permitir a execução de comandos com privilégios de administrador. A falha, identificada como CVE-2026-98432, afecta distribuições como Ubuntu e Red Hat Enterprise Linux (RHEL), e ganhou destaque depois de o modelo de inteligência artificial Claude, desenvolvido pela Anthropic, ter sido utilizado para criar um código de exploração capaz de tirar partido do problema.
A vulnerabilidade recebeu uma classificação de gravidade de 9,8 em 10 pela equipa responsável pelo sistema de registo de falhas do kernel Linux, colocando-a no nível crítico. O cenário demonstrado permite que um atacante remoto, sem credenciais, obtenha privilégios de root em determinadas configurações de servidores Linux, podendo executar comandos com controlo administrativo sobre o sistema.
O caso evidencia os riscos associados a falhas profundas no núcleo dos sistemas operativos, especialmente quando afectam infra-estruturas expostas à Internet. O kernel é responsável por gerir recursos essenciais, como memória, processadores e comunicações de rede. Uma vulnerabilidade nesta componente pode comprometer não apenas uma aplicação isolada, mas potencialmente todo o sistema.
Falha está relacionada com a gestão de ligações de rede
O problema tem origem numa condição de corrida no código responsável pelo tratamento de ligações TCP sobre IPv4. Este tipo de erro ocorre quando duas operações acedem ou modificam o mesmo recurso de forma concorrente, criando uma situação em que o sistema pode executar determinadas acções numa ordem inesperada.
Neste caso, o kernel pode tentar aceder a uma área de memória que já foi libertada, comportamento conhecido como use-after-free. Esta falha pode permitir a exposição de dados internos e, em determinadas condições, a manipulação do funcionamento do sistema.
O erro está presente no Linux desde a versão 4.4. O protocolo IPv6 não é afectado pelo mesmo problema específico, uma vez que o kernel copia os dados relevantes durante o tratamento destas ligações, evitando a condição que origina a vulnerabilidade.
A gravidade do caso está na possibilidade de transformar um erro de gestão de memória num mecanismo de execução de comandos com privilégios elevados. Embora a existência da vulnerabilidade não signifique que todos os servidores Linux estejam automaticamente comprometidos, as máquinas que utilizem versões afectadas e apresentem as condições necessárias podem ficar expostas.
Claude conseguiu construir uma exploração em duas etapas
A Anthropic revelou que o modelo Claude foi utilizado para desenvolver uma exploração da vulnerabilidade após receber instruções iniciais. O trabalho esteve associado ao investigador Xinyang Ge, a quem os registos técnicos atribuem a comunicação da falha.
O ataque demonstrado divide-se em duas fases. Na primeira, a exploração procura obter informação sobre a memória interna do kernel, incluindo um endereço que permite contornar uma protecção conhecida como KASLR. Este mecanismo altera a disposição dos endereços de memória para dificultar ataques que dependem do conhecimento da sua localização.
Na segunda fase, o código aproveita novamente a falha para interferir com o fluxo de execução do kernel, permitindo executar comandos com privilégios de root. Nos testes relatados, a obtenção do endereço de memória demorou cerca de 48 minutos, enquanto a etapa seguinte exigiu aproximadamente mais cinco minutos.
Estes valores correspondem à demonstração descrita pela empresa e não constituem uma garantia de que o ataque tenha o mesmo desempenho em todos os sistemas. A publicação também não disponibiliza o código completo da exploração nem especifica todas as versões e configurações utilizadas nos testes.
Um aspecto particularmente preocupante é que as tentativas falhadas podem afectar apenas a ligação individual, sem necessariamente provocar a queda de todo o servidor. Isso pode permitir a repetição das tentativas até que as condições necessárias para a exploração sejam alcançadas.
Ubuntu e Red Hat continuam sem actualização corrigida
A correcção já foi integrada no código principal do kernel Linux e transportada para várias ramificações estáveis mantidas pelo projecto. No entanto, a disponibilização efectiva da protecção depende de cada distribuição preparar e publicar os respectivos pacotes de actualização.
A 29 de Outubro de 2026, o Ubuntu e o Red Hat Enterprise Linux ainda não tinham disponibilizado uma actualização corrigida para os sistemas afectados, segundo as informações publicadas. Não existia igualmente uma data confirmada para o lançamento dessas actualizações.
Outras distribuições, incluindo Debian, Oracle Linux, SUSE e Amazon Linux, já tinham disponibilizado pacotes corrigidos para pelo menos algumas das versões dos seus kernels. A situação varia, contudo, conforme a edição, a versão e o tipo de kernel utilizado.
As avaliações de gravidade também apresentam diferenças entre os fornecedores. Enquanto a equipa do kernel atribuiu à falha a classificação de 9,8, outros responsáveis por distribuições utilizaram pontuações inferiores, considerando, entre outros factores, a dificuldade de explorar a condição de corrida e a possibilidade de o resultado ser apenas uma interrupção do sistema.
Estas diferenças não eliminam a necessidade de avaliar o risco. A exploração demonstrada pela Anthropic indica que, em determinadas condições, o problema pode ultrapassar uma simples falha de disponibilidade e permitir a execução de comandos com privilégios administrativos.
O que devem fazer os administradores de sistemas
A principal recomendação é verificar se os sistemas utilizam versões afectadas do kernel e acompanhar os avisos de segurança da distribuição instalada. Sempre que estiver disponível uma actualização corrigida e compatível, a instalação deve ser tratada como prioritária, sobretudo em servidores acessíveis a partir da Internet.
Os administradores devem ainda identificar serviços de rede expostos e rever as configurações dos servidores, seguindo as orientações oficiais dos respectivos fornecedores. Até à data das informações publicadas, não existia uma medida alternativa de mitigação confirmada como adequada a todas as instalações afectadas.
A vulnerabilidade também demonstra a importância de manter um inventário actualizado dos sistemas, acompanhar avisos de segurança e estabelecer procedimentos para instalar correcções rapidamente. Em ambientes empresariais, a exploração de uma falha no kernel pode colocar em risco dados, aplicações e outros serviços alojados na mesma infraestrutura.
Até 29 de Outubro, não tinham sido confirmados ataques reais que explorassem esta vulnerabilidade nos avisos consultados. A ausência de incidentes reportados, contudo, não significa que o risco seja inexistente, especialmente perante a demonstração de uma exploração funcional.
Inteligência artificial reforça capacidades de investigação em cibersegurança
O caso representa mais um exemplo da utilização de inteligência artificial na análise de vulnerabilidades complexas. Modelos capazes de examinar código, identificar comportamentos inesperados e desenvolver provas de conceito podem acelerar o trabalho de investigadores de segurança.
As mesmas capacidades também podem reduzir o esforço necessário para transformar uma vulnerabilidade conhecida num ataque funcional, aumentando a importância da divulgação responsável de falhas e da aplicação atempada de correcções.
A situação não significa que qualquer utilizador do Claude consiga reproduzir automaticamente o mesmo resultado, uma vez que a demonstração foi realizada num contexto específico e não inclui todos os detalhes técnicos necessários para avaliar a sua reprodução independente. Ainda assim, o episódio evidencia como a inteligência artificial pode contribuir tanto para a descoberta e correcção de falhas como para o desenvolvimento de ferramentas de exploração.
Para organizações que dependem de servidores Linux, a prioridade continua a ser identificar os sistemas potencialmente afectados, acompanhar a publicação de actualizações e reduzir a exposição desnecessária dos serviços de rede enquanto não estiver disponível uma correcção aplicável.
