{"id":2994,"date":"2026-09-20T09:20:22","date_gmt":"2026-09-20T12:20:22","guid":{"rendered":"https:\/\/jrtx.com.br\/blog\/2026\/09\/20\/cve-2025-39964-race-condition-no-kernel-linux-exploracao-ati\/"},"modified":"2026-09-20T09:20:22","modified_gmt":"2026-09-20T12:20:22","slug":"cve-2025-39964-race-condition-no-kernel-linux-exploracao-ati","status":"publish","type":"post","link":"https:\/\/jrtx.com.br\/blog\/2026\/09\/20\/cve-2025-39964-race-condition-no-kernel-linux-exploracao-ati\/","title":{"rendered":"CVE-2025-39964: Race Condition no Kernel Linux \u2014 Explora\u00e7\u00e3o Ativa"},"content":{"rendered":"
\n \u26a0\ufe0f<\/span><\/p>\n
\n

ALERTA CISA KEV \u2014 Explora\u00e7\u00e3o Ativa Confirmada<\/p>\n

Esta vulnerabilidade est\u00e1 sendo ativamente explorada<\/strong> em ambientes reais. Aplique o patch ou mitiga\u00e7\u00e3o IMEDIATAMENTE<\/strong>.<\/p>\n<\/p><\/div>\n<\/div>\n

O ecossistema de seguran\u00e7a da informa\u00e7\u00e3o amanheceu neste domingo, 20 de setembro de 2026, sob alerta m\u00e1ximo<\/strong>. A CVE-2025-39964<\/strong>, uma vulnerabilidade de condi\u00e7\u00e3o de corrida no kernel Linux, entrou para o cat\u00e1logo CISA KEV (Known Exploited Vulnerabilities)<\/strong> com confirma\u00e7\u00e3o de explora\u00e7\u00e3o ativa em ambientes reais<\/strong>. A falha, classificada como HIGH<\/strong> e associada a ataques do tipo zero-day, compromete a integridade e a disponibilidade de sistemas que dependem do kernel Linux em servidores, dispositivos embarcados, roteadores e infraestruturas cr\u00edticas. A keyword CVE-2025-39964 explora\u00e7\u00e3o ativa vulnerabilidade<\/strong> domina as buscas e os pain\u00e9is de monitoramento de SOCs em todo o mundo, pois a janela de prote\u00e7\u00e3o \u00e9 zero: n\u00e3o h\u00e1 patch oficial amplamente distribu\u00eddo no momento da publica\u00e7\u00e3o inicial da CVE, e a explora\u00e7\u00e3o j\u00e1 est\u00e1 em curso.<\/p>\n

O cen\u00e1rio \u00e9 agravado por um lote de outras seis vulnerabilidades HIGH<\/strong> tamb\u00e9m ativamente exploradas, incluindo falhas no Google Pixel<\/strong>, Cisco Identity Services Engine<\/strong>, Acronis Backup<\/strong> e outras no pr\u00f3prio kernel Linux<\/strong>. A CISA adicionou m\u00faltiplas entradas ao cat\u00e1logo KEV nas \u00faltimas 48 horas, sinalizando uma campanha coordenada ou um aumento significativo na atividade de atores maliciosos. A CVE-2025-39964<\/strong> destaca-se por atingir uma das camadas mais fundamentais da computa\u00e7\u00e3o moderna: o kernel do sistema operacional que gerencia processos, mem\u00f3ria, redes e criptografia.<\/p>\n

Para empresas e administradores de infraestrutura, o alerta representa uma corrida contra o rel\u00f3gio. Enquanto os fornecedores de distribui\u00e7\u00f5es Linux (Red Hat, Ubuntu, Debian, SUSE, entre outras) correm para disponibilizar corre\u00e7\u00f5es backportadas, os atacantes j\u00e1 exploram a falha para obter escalada de privil\u00e9gios<\/strong>, nega\u00e7\u00e3o de servi\u00e7o<\/strong> ou vazamento de informa\u00e7\u00f5es sens\u00edveis<\/strong> \u2014 dependendo do vetor de ataque espec\u00edfico. A explora\u00e7\u00e3o da condi\u00e7\u00e3o de corrida no socket AF_ALG permite que um invasor local ou remoto manipule o estado interno do socket, potencialmente corrompendo estruturas de mem\u00f3ria e abrindo caminho para execu\u00e7\u00e3o de c\u00f3digo arbitr\u00e1rio. Neste artigo t\u00e9cnico, dissecamos a falha, o vetor de ataque, os produtos afetados e as etapas urgentes de mitiga\u00e7\u00e3o, incluindo o papel essencial de ferramentas de gest\u00e3o de vulnerabilidades e monitoramento cont\u00ednuo, como as oferecidas pela JRT Technology Solutions<\/strong>.<\/p>\n

N\u00e3o se trata apenas de uma atualiza\u00e7\u00e3o pontual: a CVE-2025-39964 explora\u00e7\u00e3o ativa vulnerabilidade<\/strong> exige uma resposta imediata e coordenada, com verifica\u00e7\u00e3o p\u00f3s-patch e revis\u00e3o de configura\u00e7\u00f5es de kernel. Ignorar este alerta pode resultar em comprometimento total de servidores, interrup\u00e7\u00e3o de servi\u00e7os e viola\u00e7\u00f5es de conformidade com regulamenta\u00e7\u00f5es como LGPD<\/strong>, GDPR<\/strong>, PCI-DSS<\/strong> e HIPAA<\/strong>, dependendo do setor.<\/p>\n

O que \u00e9 a CVE-2025-39964<\/h3>\n\n\n\n\n\n\n\n\n\n\n\n\n
Campo<\/th>\nDetalhe<\/th>\n<\/tr>\n<\/thead>\n
CVE ID<\/td>\nCVE-2025-39964<\/td>\n<\/tr>\n
CVSS Score<\/td>\n7.8 \u2014 HIGH (Alto)<\/td>\n<\/tr>\n
Vetor de Ataque<\/td>\nLocal (potencialmente remoto via servi\u00e7os que utilizam AF_ALG)<\/td>\n<\/tr>\n
Produtos Afetados<\/td>\nLinux \u2014 Kernel (todas as vers\u00f5es vulner\u00e1veis, depende da distribui\u00e7\u00e3o e vers\u00e3o do kernel)<\/td>\n<\/tr>\n
Tipo de Vulnerabilidade<\/td>\nCWE-362: Race Condition (Condi\u00e7\u00e3o de Corrida)<\/td>\n<\/tr>\n
Data de Publica\u00e7\u00e3o<\/td>\n20\/09\/2026<\/td>\n<\/tr>\n
Patch Dispon\u00edvel<\/td>\nEm desenvolvimento (algumas distribui\u00e7\u00f5es j\u00e1 liberaram hotfix preliminar; consulte o fornecedor)<\/td>\n<\/tr>\n
Explora\u00e7\u00e3o Ativa<\/td>\n\u26a0\ufe0f SIM \u2014 CISA KEV confirmada<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

A CVE-2025-39964<\/strong> \u00e9 uma condi\u00e7\u00e3o de corrida<\/strong> no subsistema AF_ALG<\/strong> do kernel Linux. O AF_ALG \u00e9 uma interface de soquete que permite a aplica\u00e7\u00f5es usu\u00e1rias acessarem opera\u00e7\u00f5es criptogr\u00e1ficas do kernel (como AES, SHA, HMAC) de forma ass\u00edncrona e eficiente. A vulnerabilidade ocorre quando m\u00faltiplas threads ou processos realizam escritas concorrentes no mesmo soquete AF_ALG<\/strong> sem a devida serializa\u00e7\u00e3o. Em um cen\u00e1rio de condi\u00e7\u00e3o de corrida, o kernel pode intercalar os dados dessas escritas de forma imprevis\u00edvel, resultando em um estado interno inconsistente do soquete. Essa inconsist\u00eancia pode ser explorada por um atacante para provocar nega\u00e7\u00e3o de servi\u00e7o<\/strong>, leitura\/escrita fora dos limites<\/strong> ou, em cen\u00e1rios mais avan\u00e7ados, execu\u00e7\u00e3o de c\u00f3digo arbitr\u00e1rio<\/strong> no contexto do kernel. A falha \u00e9 particularmente perigosa porque o AF_ALG \u00e9 amplamente utilizado por bibliotecas criptogr\u00e1ficas, VPNs, TLS\/SSL e aplica\u00e7\u00f5es de seguran\u00e7a, tornando a superf\u00edcie de ataque extensa.<\/p>\n

A gravidade HIGH<\/strong> (CVSS 7.8) reflete o alto impacto na integridade e confidencialidade, combinado com uma complexidade de ataque baixa, mas com vetor de ataque local. No entanto, a explora\u00e7\u00e3o ativa observada indica que os atacantes j\u00e1 possuem um vetor confi\u00e1vel para alcan\u00e7ar o c\u00f3digo vulner\u00e1vel, seja atrav\u00e9s de servi\u00e7os expostos que utilizam AF_ALG indiretamente ou por meio de acesso local pr\u00e9vio via outras vulnerabilidades. A CISA KEV<\/strong> recomenda remedia\u00e7\u00e3o urgente, com prazo m\u00e1ximo de 14 dias para ag\u00eancias federais dos EUA, mas para empresas privadas a recomenda\u00e7\u00e3o \u00e9 aplicar a corre\u00e7\u00e3o imediatamente<\/strong>.<\/p>\n

An\u00e1lise T\u00e9cnica Detalhada da CVE-2025-39964 Explora\u00e7\u00e3o Ativa Vulnerabilidade<\/h3>\n

Para compreender a raiz do problema, \u00e9 necess\u00e1rio detalhar o funcionamento do AF_ALG<\/strong>. Introduzido no kernel Linux 2.6.38, o AF_ALG fornece uma interface de soquete para opera\u00e7\u00f5es criptogr\u00e1ficas. Os soquetes AF_ALG operam em dois modos: splice<\/em> (zero-copy) e non-splice<\/em> (c\u00f3pia tradicional). No modo splice, o kernel otimiza a transfer\u00eancia de dados entre o soquete e p\u00e1ginas de mem\u00f3ria, evitando c\u00f3pias desnecess\u00e1rias. A vulnerabilidade reside na manipula\u00e7\u00e3o concorrente do buffer de entrada do soquete. Quando duas ou mais threads chamam send()<\/code>, write()<\/code> ou splice()<\/code> no mesmo descritor de arquivo AF_ALG simultaneamente, a l\u00f3gica de gerenciamento do rx_list<\/code> e do tx_list<\/code> pode entrar em um estado inconsistente. O kernel n\u00e3o possui uma trava adequada para serializar essas opera\u00e7\u00f5es, levando a um interleaving<\/strong> de dados: bytes de uma mensagem podem ser misturados com bytes de outra, e o ponteiro de posi\u00e7\u00e3o do buffer pode ser corrompido.<\/p>\n

O resultado pr\u00e1tico \u00e9 que o soquete pode apresentar um estado interno onde o comprimento dos dados n\u00e3o corresponde ao n\u00famero real de bytes armazenados, ou onde o ponteiro de leitura aponta para uma regi\u00e3o de mem\u00f3ria inv\u00e1lida. Um atacante pode explorar essa condi\u00e7\u00e3o para causar um kernel panic<\/strong> (nega\u00e7\u00e3o de servi\u00e7o) ou, com engenharia cuidadosa, realizar uma escrita fora dos limites<\/strong> sobre estruturas adjacentes do kernel, potencialmente sobrescrevendo ponteiros de fun\u00e7\u00e3o ou credenciais de processo para obter escalada de privil\u00e9gios<\/strong>. A explora\u00e7\u00e3o \u00e9 considerada zero-day<\/em> porque n\u00e3o havia conhecimento p\u00fablico da falha antes da inclus\u00e3o na CISA KEV, e os atacantes j\u00e1 possuem exploits funcionais.<\/p>\n

Uma an\u00e1lise mais profunda do patch proposto (ainda n\u00e3o totalmente distribu\u00eddo) revela que a corre\u00e7\u00e3o envolve a adi\u00e7\u00e3o de um mutex<\/strong> ou spinlock<\/strong> na fun\u00e7\u00e3o af_alg_sendmsg()<\/code> e nos caminhos de splice<\/code>, garantindo que apenas uma opera\u00e7\u00e3o de escrita por vez possa modificar o estado do soquete. A aus\u00eancia dessa prote\u00e7\u00e3o em kernels n\u00e3o corrigidos \u00e9 o cerne da vulnerabilidade. Al\u00e9m disso, a falha pode ser agravada em sistemas com SMP (Symmetric Multi-Processing)<\/strong> ou NUMA<\/strong>, onde m\u00faltiplos n\u00facleos de CPU acessam o mesmo soquete verdadeiramente em paralelo, aumentando a probabilidade de ocorr\u00eancia da condi\u00e7\u00e3o de corrida.<\/p>\n

Produtos e Vers\u00f5es Afetados pela CVE-2025-39964<\/h3>\n

A CVE-2025-39964<\/strong> afeta o Linux Kernel<\/strong> em todas as vers\u00f5es que suportam AF_ALG e que n\u00e3o possuem a corre\u00e7\u00e3o backportada. Como o kernel \u00e9 utilizado em uma infinidade de sistemas operacionais e dispositivos, a lista de produtos afetados \u00e9 ampla:<\/p>\n