Alerta Crítico: Falha no OpenSSH (CVE-2026-3000) Permite Execução Remota de Código sem Autenticação

No dia 17 de julho de 2026, a equipe de segurança do OpenSSH anunciou uma atualização de emergência para corrigir a vulnerabilidade CVE-2026-3000. A falha de Execução Remota de Código (RCE) permite que atacantes remotos contornem completamente as etapas de autenticação (bypass) e tomem controle de servidores Linux e Unix expostos à internet, sem precisar de chaves SSH ou senhas válidas.

O bug foi descoberto em um estouro de buffer baseado em pilha (stack-based buffer overflow) no manipulador do subsistema de troca de chaves criptográficas (KEX - Key Exchange), especificamente quando o servidor processa pacotes SSH de inicialização corrompidos em altas frequências. A vulnerabilidade afeta todas as versões do OpenSSH Server a partir da 8.9p1 até a 9.7p1.

⟩_ O Mecanismo de Execução do Exploit

Durante a fase de negociação inicial do protocolo SSH, o cliente e o servidor concordam sobre quais algoritmos criptográficos usar para cifragem e troca de chaves. Essa etapa ocorre antes de qualquer autenticação de usuário (senha ou chaves privadas/públicas).

A CVE-2026-3000 explora uma falha de checagem de tamanho ao analisar a lista de cifras enviadas pelo cliente. Ao forçar um pacote de cifras excessivamente longo e fragmentado de forma maliciosa, o atacante estoura a pilha alocada para a estrutura `kex_params` no daemon `sshd`, substituindo os ponteiros de retorno da função de processamento por blocos de código executáveis de shellcode, obtendo execução imediata com o privilégio do processo da porta SSH (geralmente privilégio root ou `sshd` desprivilegiado antes do isolamento de sandbox).

⟩_ Script de Mitigação: Atualização e Bloqueio de Cifras

A melhor solução é atualizar o pacote `openssh-server` nas suas máquinas Linux imediatamente. Caso as atualizações dos pacotes oficiais da sua distribuição ainda não estejam disponíveis nos espelhos locais de pacotes, você pode mitigar o exploit restringindo as cifras permitidas no arquivo `/etc/ssh/sshd_config`:

# 1. Edite as cifras aceitas no /etc/ssh/sshd_config para remover as vulneráveis
# Adicione a seguinte linha limitadora ao final do arquivo:
KexAlgorithms curve25519-sha256,curve25519-sha256@libssh.org,diffie-hellman-group16-sha512

# 2. Valide as configurações de sintaxe do SSH daemon
sudo sshd -t

# 3. Se não houver erros de sintaxe, reinicie o serviço SSH
sudo systemctl restart sshd

# 4. Monitore tentativas de exploit nos logs do sistema
sudo tail -f /var/log/auth.log | grep -E "bad packet|KEX failed"

⟩_ Recomendações Globais de Perímetro

Além de atualizar o OpenSSH e blindar suas cifras, certifique-se de que a porta de administração SSH (geralmente porta 22) não esteja exposta diretamente para a internet pública sem a proteção de uma VPN, ZTNA (Acesso à Rede de Confiança Zero) ou regras rígidas de restrição de IPs na sua infraestrutura de firewall em nuvem.