{"id":2972,"date":"2026-09-19T09:00:54","date_gmt":"2026-09-19T12:00:54","guid":{"rendered":"https:\/\/jrtx.com.br\/blog\/2026\/09\/19\/cve-2025-39964-exploracao-ativa-vulnerabilidade-no-kernel-li\/"},"modified":"2026-09-19T09:00:54","modified_gmt":"2026-09-19T12:00:54","slug":"cve-2025-39964-exploracao-ativa-vulnerabilidade-no-kernel-li","status":"publish","type":"post","link":"https:\/\/jrtx.com.br\/blog\/2026\/09\/19\/cve-2025-39964-exploracao-ativa-vulnerabilidade-no-kernel-li\/","title":{"rendered":"CVE-2025-39964: explora\u00e7\u00e3o ativa vulnerabilidade no Kernel Linux"},"content":{"rendered":"
\n \u26a0\ufe0f<\/span><\/p>\n
\n

ALERTA CISA KEV \u2014 Explora\u00e7\u00e3o Ativa Confirmada<\/p>\n

Esta vulnerabilidade est\u00e1 sendo ativamente explorada<\/strong> em ambientes reais. Aplique o patch ou mitiga\u00e7\u00e3o IMEDIATAMENTE<\/strong>.<\/p>\n<\/p><\/div>\n<\/div>\n

Neste s\u00e1bado, 19 de setembro de 2026, a comunidade de seguran\u00e7a da informa\u00e7\u00e3o amanheceu com um alerta de prioridade m\u00e1xima: a CVE-2025-39964<\/strong> foi adicionada ao cat\u00e1logo KEV (Known Exploited Vulnerabilities) da CISA, confirmando que a falha do tipo race condition no subsistema AF_ALG<\/strong> do Kernel Linux est\u00e1 sendo explorada de forma ativa em ambientes reais. A inclus\u00e3o no KEV n\u00e3o \u00e9 meramente burocr\u00e1tica \u2014 ela sinaliza, com base em evid\u00eancias coletadas por ag\u00eancias governamentais e parceiros de intelig\u00eancia, que atacantes j\u00e1 possuem exploit funcional e est\u00e3o utilizando a brecha para comprometer sistemas Linux em produ\u00e7\u00e3o. Para administradores de servidores, engenheiros de plataforma e analistas de SOC, isso significa que a janela de resposta n\u00e3o \u00e9 mais uma estimativa: \u00e9 agora.<\/p>\n

O ecossistema Linux \u00e9 a espinha dorsal de data centers, provedores de nuvem, dispositivos embarcados, roteadores, firewalls de pr\u00f3xima gera\u00e7\u00e3o e uma infinidade de appliances de seguran\u00e7a. Uma vulnerabilidade no kernel n\u00e3o se limita a um \u00fanico produto: ela se propaga por toda a cadeia de servidores que executam distribui\u00e7\u00f5es como Ubuntu Server, Debian, RHEL, CentOS Stream, AlmaLinux, Rocky Linux, SUSE, Oracle Linux, Amazon Linux e Alpine. Quando a falha reside justamente no subsistema criptogr\u00e1fico \u2014 o AF_ALG<\/strong>, interface de soquete para a API criptogr\u00e1fica do kernel \u2014 o impacto potencial transcende a disponibilidade e alcan\u00e7a confidencialidade e integridade de dados sens\u00edveis, chaves e opera\u00e7\u00f5es de autentica\u00e7\u00e3o.<\/p>\n

O alerta de hoje n\u00e3o \u00e9 isolado. Nas \u00faltimas 24 horas, a CISA adicionou m\u00faltiplas entradas ao cat\u00e1logo KEV, incluindo falhas no ebtables SNAT, no caminho de recep\u00e7\u00e3o TLS do kernel, no modem celular do Google Pixel, no Cisco Identity Services Engine (ISE) e no Acronis Backup. O volume e a diversidade dessas adi\u00e7\u00f5es refor\u00e7am um padr\u00e3o preocupante: atacantes est\u00e3o acelerando a explora\u00e7\u00e3o de zero-days e falhas rec\u00e9m-corrigidas, pressionando equipes de infraestrutura a reduzir drasticamente o tempo entre disclosure e remedia\u00e7\u00e3o. A CVE-2025-39964 explora\u00e7\u00e3o ativa vulnerabilidade<\/strong> se destaca nesse cen\u00e1rio por atingir diretamente o n\u00facleo do sistema operacional, o componente mais cr\u00edtico e mais dif\u00edcil de remediar em frotas heterog\u00eaneas de servidores.<\/p>\n

Para profissionais de TI e entusiastas de tecnologia, o recado \u00e9 direto: \u00e9 preciso revisar imediatamente os kernels em execu\u00e7\u00e3o, validar se h\u00e1 mitiga\u00e7\u00e3o dispon\u00edvel nas distribui\u00e7\u00f5es utilizadas e, quando aplic\u00e1vel, programar janelas de manuten\u00e7\u00e3o emergenciais \u2014 mesmo em finais de semana. Na JRT Technology Solutions<\/strong>, nossas equipes de SOC e gest\u00e3o de vulnerabilidades j\u00e1 est\u00e3o executando varredura cont\u00ednua de CVEs para frotas corporativas, priorizando sistemas com exposi\u00e7\u00e3o direta ao subsistema AF_ALG e correlacionando alertas com o monitoramento em tempo real do cat\u00e1logo CISA KEV.<\/p>\n

O que \u00e9 a CVE-2025-39964 \u2014 explora\u00e7\u00e3o ativa da vulnerabilidade<\/h3>\n

A CVE-2025-39964<\/strong> \u00e9 uma vulnerabilidade de condi\u00e7\u00e3o de corrida (race condition) identificada no subsistema AF_ALG<\/strong> do Kernel Linux. Para entender a gravidade, \u00e9 essencial saber que o AF_ALG \u00e9 a interface de soquete que permite a aplica\u00e7\u00f5es em userspace acessarem os algoritmos criptogr\u00e1ficos implementados diretamente no kernel. Desde sua introdu\u00e7\u00e3o, essa API tem sido usada por bibliotecas como libkcapi, systemd, cryptsetup e por m\u00f3dulos de VPN e criptografia de disco para executar opera\u00e7\u00f5es de hash, cifra sim\u00e9trica e autentica\u00e7\u00e3o de forma acelerada, sem a necessidade de transi\u00e7\u00f5es caras de contexto entre userspace e kernel.<\/p>\n

A natureza da falha est\u00e1 na forma como o kernel gerencia o estado interno do soquete quando m\u00faltiplos fluxos de escrita concorrem sobre o mesmo descritor AF_ALG. Em condi\u00e7\u00f5es normais, o kernel serializa acessos a recursos compartilhados por meio de locks ou mecanismos de sincroniza\u00e7\u00e3o equivalentes. No caso da CVE-2025-39964<\/strong>, essa sincroniza\u00e7\u00e3o \u00e9 insuficiente: escritas simult\u00e2neas ao mesmo soquete podem ser intercaladas de forma imprevis\u00edvel, corrompendo estruturas internas de dados que controlam buffers, offsets e limites de opera\u00e7\u00e3o criptogr\u00e1fica. O resultado \u00e9 uma inconsist\u00eancia de estado que pode ser abusada por um atacante para provocar leituras fora dos limites, grava\u00e7\u00f5es indevidas ou interpreta\u00e7\u00e3o incorreta de resultados criptogr\u00e1ficos.<\/p>\n\n\n\n\n\n\n\n\n\n\n\n\n
Campo<\/th>\nDetalhe<\/th>\n<\/tr>\n<\/thead>\n
CVE ID<\/td>\nCVE-2025-39964<\/td>\n<\/tr>\n
CVSS Score<\/td>\n7.8 \u2014 HIGH<\/td>\n<\/tr>\n
Vetor de Ataque<\/td>\nLocal \/ Adjacent (exige acesso ao soquete AF_ALG)<\/td>\n<\/tr>\n
Produtos Afetados<\/td>\nLinux \u2014 Kernel (subsistema AF_ALG; m\u00faltiplas distribui\u00e7\u00f5es)<\/td>\n<\/tr>\n
Tipo de Vulnerabilidade<\/td>\nCWE-362 \u2014 Race Condition \/ CWE-416 \u2014 Use After Free (potencial)<\/td>\n<\/tr>\n
Data de Publica\u00e7\u00e3o<\/td>\n19\/09\/2026<\/td>\n<\/tr>\n
Patch Dispon\u00edvel<\/td>\nSim \u2014 upstream; verificar backport na distribui\u00e7\u00e3o<\/td>\n<\/tr>\n
Explora\u00e7\u00e3o Ativa<\/td>\n\u26a0\ufe0f SIM \u2014 CISA KEV confirmada<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

Do ponto de vista de explora\u00e7\u00e3o, a falha n\u00e3o demanda privil\u00e9gios elevados de root para ser desencadeada \u2014 qualquer processo local com permiss\u00e3o para criar e operar soquetes AF_ALG pode, em tese, instigar a condi\u00e7\u00e3o de corrida. Isso inclui cont\u00eaineres com namespaces compartilhados, servi\u00e7os de usu\u00e1rio n\u00e3o privilegiados e, em cen\u00e1rios espec\u00edficos, usu\u00e1rios remotos caso a aplica\u00e7\u00e3o exponha funcionalidades criptogr\u00e1ficas baseadas em AF_ALG. A taxa de sucesso da explora\u00e7\u00e3o depende da sincroniza\u00e7\u00e3o de threads e da capacidade do atacante de gerar janelas de disputa consistentes, mas a confirma\u00e7\u00e3o de explora\u00e7\u00e3o ativa pela CISA elimina qualquer d\u00favida sobre a viabilidade pr\u00e1tica do ataque.<\/p>\n

Produtos e Vers\u00f5es Afetados<\/h3>\n

Como a vulnerabilidade reside no n\u00facleo monol\u00edtico do Linux, a lista de produtos afetados \u00e9 abrangente e variada. N\u00e3o se trata de um \u00fanico fornecedor ou appliance, mas de todo um ecossistema de sistemas operacionais e dispositivos que utilizam vers\u00f5es vulner\u00e1veis do kernel Linux. A correta identifica\u00e7\u00e3o da exposi\u00e7\u00e3o exige que cada organiza\u00e7\u00e3o verifique a vers\u00e3o exata do kernel \u2014 e, mais importante, o n\u00edvel de backport de seguran\u00e7a aplicado pela distribui\u00e7\u00e3o.<\/p>\n