Microsoft detalha 59 reports de bugs no kernel Linux encontrados com o MDASH, entre eles 33 CVEs

O FORGE Lab da Microsoft usou o codinome MDASH para escanear parte dos subsistemas do kernel Linux (networking, filesystems e security modules) entre o fim de maio e meados de junho de 2026. A escolha mirou componentes sensíveis do ponto de vista de segurança e sem dependência óbvia de hardware especializado, o que deixou a validação em QEMU simples e unificada. O funil foi grande: 26.502 achados brutos, 11.769 candidatos após filtragem de baixa confiança, 621 casos com PoC revisados por especialistas e 59 reports públicos upstream (9,5%).

O dado mais útil para quem gerencia vulnerabilidades é o destino dos 621 casos: 266 (42,8%) compartilhavam causa raiz com outro, 163 (26,2%) não foram reportados por impacto limitado e 133 (21,4%) já estavam reportados ou corrigidos upstream. Dos 33 CVEs atribuídos, 24 têm CVSS v3.1 de pelo menos 7,0, e oito tiveram exploits funcionais de escalonamento local para root, em laboratório controlado e, em alguns casos, com configurações não padrão ou mitigações desativadas. Até agora, 38 correções entraram na mainline, metade na primeira submissão, e a mediana do primeiro patch público até um release da mainline foi de 41 dias (máximo de 108). A idade média dos bugs era de 8,1 anos, e o CVE-2026-74544, em cls_u32, existia havia pelo menos 21 anos.

O tema da IA caçando falhas no kernel vem sendo coberto pelo CEVIU, mas em outros projetos. Em 5 de novembro de 2026, o CEVIU noticiou o pipeline autônomo da OpenAI que gerou exploits para 948 falhas de escalonamento de privilégios no kernel do Linux. Em 9 de novembro de 2026, noticiou que o FORGE Lab da Microsoft usou agentes de IA para achar falhas de memory safety na biblioteca padrão do Rust. O relato atual é do mesmo laboratório, mas aplicado ao kernel Linux, e traz o lado do custo humano: meses de triagem e colaboração com maintainers para transformar achados brutos em patches.

Para quem opera ou defende ambientes Linux, a leitura é que a descoberta automatizada já produz volume real de CVEs, e o gargalo está em validar, corrigir e distribuir. Para equipes de patching, isso sugere uma fila maior de CVEs de escalonamento local em kernels antigos. Vale priorizar sistemas multiusuário e ambientes onde código não confiável roda localmente.