Vulnerabilidade 'Bad Epoll' no Linux Recebe Exploit de Prova de Conceito para Acesso Root

A vulnerabilidade CVE-2026-46242, apelidada de Bad Epoll, expõe uma grave falha no kernel Linux. Ela é um tipo de condição de corrida use-after-free na funcionalidade epoll, que é crucial para notificações de eventos de I/O. Em termos práticos, um processo sem privilégios pode explorar essa falha para executar código arbitrário e obter acesso root, ou seja, controle total sobre o sistema. O exploit de Prova de Conceito (PoC) liberado demonstra que isso é feito por meio de uma técnica de Programação Orientada a Retorno (ROP), que manipula a pilha de execução para desviar o fluxo do programa para código malicioso.

A falha foi introduzida no kernel Linux em 2023. O pesquisador Jaeyoung Chung, da Seoul National University, a reportou como um zero-day ao Google kernelCTF. O problema afeta amplamente distribuições Linux com kernel versão 6.4 ou mais recente, incluindo dispositivos como o Pixel 10 que rodam a versão 6.6. Curiosamente, a Bad Epoll não foi detectada pelo KASAN (Kernel Address Sanitizer), a ferramenta de detecção de erros de memória do kernel, o que indica uma complexidade na sua natureza e detecção. A correção definitiva da Bad Epoll levou dois meses, um período considerado longo para uma falha de segurança no kernel.

A grande mudança agora é a disponibilidade pública do exploit de Prova de Conceito para a Bad Epoll. Antes, era uma vulnerabilidade conhecida e em processo de correção; agora, qualquer atacante com conhecimento técnico básico pode tentar replicar o acesso root. A liberação do PoC transforma a ameaça de teórica em iminente, aumentando a urgência para a aplicação das correções. A dificuldade na correção, conforme o artigo-fonte, atrasou um patch eficaz por dois meses, um tempo considerável para uma vulnerabilidade de escalação de privilégios.

A Bad Epoll se destaca pela sua capacidade de escapar das ferramentas de detecção de erros. O KASAN, que geralmente pega falhas de memória, falhou em identificá-la. Isso se deve, em parte, ao fato de que uma falha relacionada, CVE-2026-43074, que estava no mesmo commit de 2023, foi corrigida, e a Bad Epoll persistiu de uma forma que não disparava os alertas do KASAN. Essa persistência e a dificuldade de detecção original aumentam a preocupação com vulnerabilidades mais sutis no kernel.

A Bad Epoll é crítica porque permite que um atacante obtenha acesso root em um sistema Linux a partir de um processo de baixo privilégio. Isso é o Santo Graal para muitos cibercriminosos e atores de ameaças persistentes avançadas (APTs), pois abre as portas para controle total, exfiltração de dados, instalação de backdoors e até mesmo o comprometimento de ambientes virtualizados. A proliferação de exploits PoC como este acelera a janela de oportunidade para ataques bem-sucedidos.

É crucial que administradores de sistemas e equipes de segurança ajam rapidamente. A aplicação imediata de patches é a única forma eficaz de mitigar o risco. Este incidente se soma a uma série de outras falhas de privilégio no kernel Linux, como as que o CEVIU News cobriu em junho e julho de 2026, incluindo a 'DirtyClone' (1 de julho de 2026) e a 'GhostLock' (9 de julho de 2026), sublinhando a necessidade de uma vigilância constante e processos de atualização robustos.