ue, 28 Jul 2026
← VoltarSTAR Labs publicou uma exploração do kernel Linux que transforma um usuário local comum em root na versão do CentOS Stream 9 que ele visava. A falha, rastreada
STAR Labs publicou uma exploração do kernel Linux que transforma um usuário local comum em root na versão do CentOS Stream 9 que ele visava. A falha, rastreada como CVE-2026-53264 (pontuação CVSS: 7,8), é uma corrida de uso após liberação no subsistema de controle de tráfego de rede do kernel. O pesquisador Lee Jia Jie disse que a inteligência artificial (IA) o ajudou a encontrar o bug e a acelerar o desenvolvimento do exploit. Este é um escalonamento de privilégios local, não uma execução remota de código, portanto, um invasor precisa de uma posição segura na máquina antes que qualquer um deles se aplique.
A exploração demonstrada também requer namespaces de usuário sem privilégios, as opções de kernel CONFIG_NET_ACT_GACT e CONFIG_NET_CLS_FLOWER e uma cadeia de programação orientada a retorno (ROP) específica do kernel contendo deslocamentos codificados. Essas condições restringem a exposição imediata, mas o código-fonte de exploração completa agora é público. A correção upstream foi lançada em 1º de junho de 2026 e, desde então, foi portada para vários ramos estáveis do kernel. O registro Linux CNA lista intervalos vulneráveis começando com Linux 4.14.
As versões fixas são 5.10.259, 5.15.210, 6.1.176, 6.6.143, 6.12.94, 6.18.36 e 7.0.13, com a correção principal entrando em 7.1-rc7. Os usuários do Linux devem instalar um kernel de distribuição que contenha a correção, em vez de confiar apenas no número da versão upstream. O Hacker News não encontrou nenhuma entrada para a falha no catálogo de vulnerabilidades exploradas conhecidas da CISA e nenhum relatório oficial de exploração em estado selvagem em 28 de julho de 2026. Lee disse em um artigo técnico que a IA ajudou na descoberta de vulnerabilidades, na produção de uma prova de conceito do Kernel Address Sanitizer (KASAN) e na otimização da janela de corrida.
O STAR Labs também lançou o código de exploração direcionado ao CentOS. Sem o modelo, os prompts, o serviço ou o registro de interação, é difícil usar a divulgação como referência da capacidade da IA ou separar a contribuição do sistema da direção e julgamento de Lee. O Hacker News pediu ao STAR Labs detalhes sobre o sistema de IA, ambiente de teste e cronograma de divulgação e atualizará esta história com qualquer resposta. “A IA ainda tem muitos pontos cegos e lapsos na capacidade de raciocínio”, disse Lee, acrescentando que o julgamento humano permaneceu necessário durante todo o trabalho.
A vulnerabilidade reside no tratamento do ciclo de vida das ações de controle de tráfego do Linux. As operações RTM_NEWTFILTER e RTM_DELTFILTER simultâneas podem deixar um thread lendo um objeto de ação depois que outro thread o liberou. O patch upstream corrige a corrida adiando a operação gratuita até que os leitores de leitura-cópia-atualização (RCU) existentes tenham terminado. A exploração cria seus próprios namespaces de usuário e de rede, fornecendo-lhe CAP_NET_ADMIN local de namespace sem exigir direitos de administrador de host.
Ele atinge o caminho vulnerável através de um qdisc clsact e filtro de flores. As operações Timerfd e epoll ampliam a janela de corrida, enquanto as principais alocações de carga recuperam o objeto liberado. A cadeia ROP substitui então core_pattern. A exploração coloca uma cópia de si mesma em um memfd e trava deliberadamente um processo filho, fazendo com que o Linux execute o binário apoiado pelo memfd como o manipulador de core-dump raiz no namespace inicial.
Lee relatou que a exploração foi bem-sucedida em todos os 10 testes, levando entre nove e 111 segundos em um laptop rodando CentOS Stream 9. Esses números de confiabilidade não foram reproduzidos de forma independente. As compensações fixas do gadget do exploit também significam que ele deve ser reconstruído para outros pacotes de kernel e pode não ser adaptável a algumas compilações mais recentes. O risco prático é mais restrito do que um rótulo genérico de “exploração de raiz do Linux” pode sugerir, mas o código de exploração pública aumenta a urgência de sistemas compatíveis que permaneçam sem correção.
O patch upstream credita Kyle Zeng, que usa o nome KyleBot, como repórter. Lee disse que encontrou a falha de forma independente e só mais tarde soube que Zeng a havia relatado pouco antes da competição TyphoonPwn 2026. Lee publicou a análise técnica posterior e o código de exploração. O status da distribuição permaneceu irregular em 28 de julho: o Debian lista kernels fixos para versões estáveis suportadas, o Ubuntu ainda marca m vários pacotes de kernel mantidos vulneráveis e o SUSE lista o problema como pendente em vários produtos.
A SUSE atribui separadamente à falha uma pontuação de 5,5, usando um vetor que registra apenas o impacto na disponibilidade, abaixo da avaliação 7,8 do Linux CNA. Esses rastreadores mostram o status do pacote, e não quantos sistemas implantados possuem os namespaces necessários, opções de kernel e uma compilação de kernel compatível. As fontes públicas analisadas não estabelecem a população em risco imediato. Lee escreveu que o processo pesado de IA fez com que a caça aos bugs "parecesse mais como se eu estivesse fazendo análises de n dias, mesmo em novos bugs".
Saiba como 300 líderes empresariais estão gerenciando riscos de código aberto orientados por IA, remediação de dívidas e governança em escala. Aprenda como controlar riscos, proteger software criado por IA e manter o controle à medida que o desenvolvimento avança na velocidade da máquina. Receba as últimas notícias, insights de especialistas, recursos exclusivos e estratégias de líderes do setor, tudo gratuitamente.