Notícias
ALERTA 32/2026
1. O Centro de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos de Governo (CTIR Gov) alerta sobre a vulnerabilidade CVE-2026-31431, apelidada de "Copy Fail". Esta falha representa um risco crítico para a infraestrutura tecnológica governamental devido à sua alta confiabilidade e capacidade de afetar quase todas as distribuições Linux modernas.
Trata-se de uma falha lógica que permite que um usuário local sem privilégios obtenha acesso de administrador (root) ao corromper o cache de página (page cache) de binários privilegiados diretamente na memória RAM, sem a necessidade de alterar os arquivos armazenados fisicamente no disco. Quanto ao impacto, devido ao compartilhamento do kernel em arquiteturas de virtualização leve, a exploração desta vulnerabilidade pode permitir que o agente malicioso ganhe acesso ao host partindo do container (container escape) ou para outros containers hospedados, tornando-se um vetor de ataque direto em ambientes de nuvem e orquestradores como o Kubernetes. A falha é descrita na Common Vulnerabilities and Exposures (CVE):
https://nvd.nist.gov/vuln/detail/CVE-2026-31431
https://www.cve.org/CVERecord?id=CVE-2026-31431
3. RECOMENDAÇÕES
O CTIR Gov recomenda que as instituições identifiquem se utilizam versões vulneráveis e apliquem imediatamente as correções fornecidas pelo desenvolvedor. A adoção imediata das seguintes medidas práticas de prevenção e mitigação:
3.1. Atualização e Patching Prioritário
A solução definitiva é a atualização do kernel Linux para versões que contenham a correção oficial.
* Versões Corrigidas: Linux 7.0, 6.19.12 e 6.18.22 ou backports específicos dos fornecedores (Ubuntu, RHEL, Amazon Linux, SUSE).
* Ação Crítica: Após a atualização, os sistemas devem ser obrigatoriamente reiniciados para que o novo kernel seja carregado efetivamente.
3.2. Verificação da Versão do Kernel
O método mais direto é verificar a versão atual do seu kernel e compará-la com as versões corrigidas.
* Comando: Execute "uname -r" no terminal.
* Versões Seguras (Mainline): 7.0, 6.19.12, 6.18.22 e 5.10.254 ou superiores.
* Atenção: Distribuições como RHEL, Ubuntu e Debian costumam aplicar a correção em versões numericamente inferiores (backport). Consulte o rastreador de segurança oficial da sua distribuição para confirmar se a versão instalada já possui o patch para a CVE-2026-31431.
3.3. Mitigação Temporária via Desativação de Módulo
Caso a atualização imediata não seja possível, deve-se impedir o carregamento do módulo vulnerável (algif_aead).
* Execute os comandos abaixo para desativar o módulo:
-> echo "install algif_aead /bin/false" > /etc/modprobe.d/disable-algif.conf
-> rmmod algif_aead
* Em sistemas onde o suporte a criptografia está compilado diretamente no kernel, adicione o parâmetro "initcall_blacklist=algif_aead_init" às configurações de boot do GRUB.
3.4. Restrição de Acesso e Hardening
* Implementar seccomp: Bloqueie a criação de sockets da família AF_ALG para processos de usuários não confiáveis.
* Isolamento de Work Loads de orquestradores de containers (Ex: Kubernetes): Utilize tecnologias de isolamento forte (como microVMs ou gVisor) para workloads de alto risco ou voltadas para a internet, em vez de containers padrão que compartilham o kernel do host.
3.5. Monitoramento Avançado
Dado que a exploração ocorre apenas na memória, ferramentas tradicionais de integridade de arquivos em disco podem não detectar a atividade.
* Monitore logs do kernel e eventos de "auditd" em busca de leituras anômalas de arquivos binários com o bit SUID (como "su", "sudo", "mount") realizadas por processos inesperados (exemplo: Python).
4. Resumo sobre criticidade:
Listada no catálogo CISA KEV: SIM
CVSS Base Score: 7.8 (ALTA)
EPSS: 58,92%
Percentile EPSS: 98,22%
a) O que é o Cybersecurity and Infrastructure Security Agency Know Exploited Vulnerabilities Catalog (CISA KEV)?
Catálogo de vulnerabilidade mantida pela agência CISA. Os requisitos para uma vulnerabilidade ser listada no catálogo são: (1) A vulnerabilidade possui um ID CVE (Common Vulnerabilities and Exposures) atribuído; (2) Há evidências confiáveis de que a vulnerabilidade foi ativamente explorada em ambientes reais; (3) Existe uma ação de correção clara para a vulnerabilidade, como uma atualização fornecida pelo fabricante. Fonte: https://www.cisa.gov/known-exploited-vulnerabilities
b) O que é Common Vulnerability Scoring System (CVSS)?
Metodologia aberta para comunicar as características e a gravidade de vulnerabilidades em softwares. É composto por três grupos de métricas: Base, Temporal e Ambiental. Quanto mais próximo do 10 maior a criticidade da vulnerabilidade. Fonte: https://www.first.org/cvss/v3-1/specification-document
c) O que é o Exploit Prediction Scoring System (EPSS)?
Estimativa diária global da probabilidade de que uma atividade de exploração seja observada nos próximos 30 dias. Fonte: https://www.first.org/epss/model
6. O CTIR Gov ressalta que, de acordo com o artigo 12, inciso IX, do Decreto Nº 10.748, de 16 de julho de 2021, os órgãos pertencentes à ReGIC devem "sanar, com urgência, as vulnerabilidades cibernéticas, em especial aquelas identificadas nos alertas e nas recomendações", conforme publicado em: https://www.planalto.gov.br/ccivil_03/_ato2019-2022/2021/decreto/d10748.htm
7. Informações sobre a Rede Federal de Gestão de Incidentes Cibernéticos (ReGIC): Participação na Rede Federal de Gestão de Incidentes Cibernéticos (ReGIC) — Gabinete de Segurança Institucional
8. Informações sobre o Traffic Light Protocol (TLP), conforme definido pelo Forum of Incident Response and Security Teams (FIRST): Participação na Rede Federal de Gestão de Incidentes Cibernéticos (ReGIC) — Gabinete de Segurança Institucional
Equipe CTIR Gov.
[TLP:CLEAR]