Bad Epoll: Falha no kernel Linux concede acesso root a qualquer usuário local, exploit é 99% confiável

Uma grave vulnerabilidade do kernel do Linux, chamada Bad Epoll (CVE-2026-46242), permite que um usuário local comum — sem privilégios especiais — assuma o controle total de uma máquina como root. Um exploit público alcança aproximadamente 99% de confiabilidade nos alvos testados, tornando esta uma das falhas de escalada de privilégios locais mais práticas divulgadas em anos.

Como o exploit funciona

Bad Epoll é um bug de use-after-free no subsistema epoll do kernel, especificamente dentro da função ep_remove(). A falha explora uma condição de corrida (race condition): quando um arquivo é fechado e duas partes do kernel tentam limpar o mesmo objeto eventpoll interno simultaneamente, um caminho libera a memória enquanto o outro ainda está escrevendo nela. Essa colisão estreita corrompe a memória do kernel e cria a base que um atacante precisa para escalar de uma conta sem privilégios para root.

A janela de corrida abrange apenas cerca de seis instruções — tão apertada que a maioria das ferramentas de auditoria automatizadas, incluindo análise de código assistida por IA, falhou em detectá-la. O pesquisador de segurança Jaeyoung Chung, que descobriu a falha enquanto trabalhava no programa kernelCTF do Google, observou que um bug relacionado no mesmo caminho de código epoll de 2.500 linhas (CVE-2026-43074) havia sido encontrado anteriormente pelo modelo Mythos AI da Anthropic. Bad Epoll foi a segunda falha, mais sutil, que o Mythos perdeu.

O que está em risco

Qualquer sistema executando o kernel Linux v6.4 ou posterior é afetado — o que cobre a grande maioria dos servidores e desktops Linux modernos, bem como dispositivos Android. Os pesquisadores também confirmaram que a vulnerabilidade é acessível a partir do sandbox do renderizador do Chrome, o que significa que uma aba de navegador comprometida pode potencialmente ser usada como trampolim para um comprometimento total do sistema.

Como a falha requer apenas acesso local — e não execução remota de código — a ameaça mais imediata são ataques internos, ambientes de hospedagem compartilhada e escapes de contêineres onde um usuário já tem uma base na máquina.

Status da correção: disponível, mas não amplamente implantada

Uma correção do kernel Linux a montante (upstream) foi incorporada ao ramo principal em 24 de abril, após uma primeira tentativa de correção ter se mostrado incompleta. Apesar disso, a maioria das distribuições Linux — incluindo muitas variantes empresariais — não havia enviado a correção backportada até o momento desta reportagem. Os administradores devem verificar os avisos de segurança de sua distribuição e aplicar as atualizações de kernel disponíveis imediatamente. Não há solução alternativa de configuração porque o epoll não pode ser desabilitado.

Espera-se que os fabricantes Android incluam a correção nos próximos boletins de segurança mensais, mas a distribuição da atualização variará conforme o dispositivo e o fabricante.

O que fazer

Os administradores de sistema devem priorizar a aplicação de atualizações do kernel a partir dos canais de segurança de sua distribuição. Organizações que executam infraestrutura de computação compartilhada — VMs em nuvem, contêineres, ambientes Linux gerenciados — enfrentam o maior risco imediato. Até que a correção seja concluída, limitar o acesso ao shell a usuários confiáveis reduz significativamente a exposição.

O exploit agora é público, eliminando qualquer período de carência. Isso não é um risco teórico.

A vulnerabilidade foi relatada pela primeira vez por CyberSecurityNews e confirmada por The Hacker News.