Brecha no Kernel: Nova Falha no subsistema eBPF do Linux Permite Elevação Local de Privilégios

No dia 16 de julho de 2026, pesquisadores de segurança divulgaram uma vulnerabilidade crítica de dia zero que afeta o kernel do Linux, catalogada como CVE-2026-9999. A falha reside no subsistema de filtragem e auditoria eBPF (Extended Berkeley Packet Filter), amplamente utilizado por soluções modernas de monitoramento, segurança e redes híbridas em ambientes Kubernetes.

O bug permite que um usuário local mal-intencionado e com privilégios de baixo nível contorne as verificações de tipo do verificador eBPF (verifier), injete código de montagem de kernel arbitrário e obtenha privilégios máximos de administrador (root). A falha afeta distribuições Linux populares rodando kernels das séries 6.1 a 6.10 LTS. Correções de emergência estão sendo distribuídas às pressas pelos principais mantenedores de OS.

⟩_ O Mecanismo Técnico: Falha de Sanitização do Verificador

O eBPF permite executar programas seguros dentro do kernel do Linux sem alterar o código-fonte do kernel. Para garantir que esses programas não travem o host ou leiam memória indevida, o verificador (verifier) analisa o fluxo de instruções antes da compilação JIT (Just-In-Time).

A vulnerabilidade CVE-2026-9999 decorre de uma falha de lógica na otimização de rastreamento de registradores de ponteiro (pointer register tracking). Ao manipular operações aritméticas específicas em ponteiros para estruturas de mapas eBPF, um atacante consegue induzir o verificador a assumir um tamanho incorreto para os limites da memória do mapa. Quando o programa eBPF é compilado e executado pelo JIT, o atacante obtém leitura/escrita fora dos limites (out-of-bounds read/write) na memória física do kernel.

⟩_ Script de Mitigação Imediata

Até que o patch do kernel seja compilado e implantado nos seus servidores de produção, a recomendação mais segura é desabilitar a criação de programas eBPF por usuários sem privilégios administrativos. Execute as instruções a seguir no terminal para aplicar a mitigação permanente:

# Desativa o uso do eBPF por usuários comuns temporariamente
sudo sysctl -w kernel.unprivileged_bpf_disabled=1

# Salva a configuração permanentemente para persistir entre reinicializações
echo "kernel.unprivileged_bpf_disabled = 1" | sudo tee -a /etc/sysctl.d/99-prevent-ebpf-lpe.conf

# Verifica se a configuração foi aplicada com sucesso
sysctl kernel.unprivileged_bpf_disabled

⟩_ Kubernetes e Containers: O Perigo da Fuga de Isolamento

Em clusters Kubernetes multi-tenant, a CVE-2026-9999 é particularmente devastadora. Se um container comprometido tiver a permissão CAP_SYS_ADMIN ou se a configuração de runtime não limitar chamadas sysctl específicas, o atacante dentro do container pode comprometer todo o nó físico (host) subjacente, ganhando controle total sobre outros containers e segredos de ambiente expostos.