Microsoft usou IA para achar 59 bugs no kernel Linux e vê gargalo na correção

O FORGE Lab, da Microsoft, usou o codinome MDASH para varrer subsistemas do kernel Linux como rede, sistemas de arquivos e módulos de segurança. Os critérios de escolha foram componentes sensíveis do ponto de vista de segurança e sem dependência óbvia de hardware especializado, o que permitiu validar tudo em QEMU. Duas semanas de scan em dois servidores geraram 26.502 achados brutos. Filtros de confiança e agentes de triagem reduziram o lote a 11.769 candidatos, e agentes geradores de PoC chegaram a 621 casos com evidência de reprodução.

Desses 621, só 59 viraram relatos públicos. Entre os demais, 266 (42,8%) dividiam causa raiz com outro caso, 163 (26,2%) foram descartados por impacto limitado e 133 (21,4%) já tinham sido reportados ou corrigidos. Dos 33 CVEs atribuídos, 24 têm nota High ou superior (CVSS v3.1 de 7.0 ou mais). Oito tiveram exploits de root local confirmados em laboratório, alguns exigindo configurações não padrão ou mitigações desativadas. Os bugs tinham em média 8,1 anos, e um deles, em cls_u32, estava lá havia pelo menos 21 anos.

O caso em destaque é o CVE-2026-64563, uma linha no rhashtable. Desde um commit de 2018, o iterador mantinha o ponteiro iter->p após a pausa, mas o reset só ocorria em um dos dois caminhos de retomada. Se a tabela antiga fosse liberada por um resize e a entrada também fosse removida, o próximo passo lia memória liberada. O chamador explorável é o __netlink_diag_dump(), acessível a usuários sem privilégio em kernels padrão, e o impacto inclui Android com SELinux em modo enforcing. O resultado é uma escrita de 64 bits restrita, suficiente para escalada local de privilégio quando combinada com outras técnicas. A correção upstream limpa o ponteiro antes de retornar. A Microsoft agradece a Yuan Tan e Frank Wu, da NebuSec, que encontraram a falha de forma independente e contribuíram com exploits e a avaliação de severidade.

Em 11 de novembro de 2026, o CEVIU noticiou "Microsoft detalha 59 reports de bugs no kernel Linux encontrados com o MDASH, entre eles 33 CVEs", com os números do esforço. A cobertura de agora acrescenta o balanço do funil e o diagnóstico de que a correção, e não a descoberta, virou o gargalo. Em 4 de novembro de 2026, o CEVIU já havia publicado sobre o pipeline da OpenAI para o kernel, que apontava que descobrir falhas escala mais fácil do que priorizar e validar. O trabalho da Microsoft traz números de campo para essa tese: 41 dias de mediana por correção e 38 patches incorporados após cinco meses.

Para quem opera Linux em servidores, containers ou Android, a leitura é que o volume de bugs reais tende a crescer mais rápido que o ritmo de patches. Isso pede priorização por severidade e alcance, atualização frequente de kernel e atenção a caminhos acessíveis a usuários sem privilégio, como o diagnóstico de sockets Netlink. Para mantenedores, a lição é que relatos com patch, causa raiz agrupada e foco em impacto alto reduzem o ruído.