Infinity Core: seis falhas no kernel Linux com exploits públicos

O pesquisador de segurança Hyunwoo Kim divulgou seis vulnerabilidades no kernel Linux, chamadas em conjunto de “Infinity Core”, na lista de discussão oss-security em 16 de outubro de 2026. Kim diz que elas “podem ser exploradas para LPE em servidores Linux, fuga de contêineres e LPE no Android”. LPE, ou escalonamento local de privilégios, significa que um usuário comum se torna root. Exploits funcionais já são públicos. Por isso, quem opera máquinas Linux compartilhadas ou hosts de contêineres deve atualizar seus kernels agora.

As seis vulnerabilidades do Infinity Core

O post no oss-security lista cada bug com seu ID de CVE, o subsistema em que ele está e o commit que o corrigiu. Ele não traz números de versão. As versões corrigidas do kernel abaixo vêm do SecurityOnline, não do post de Kim.

Subsistema	CVE	Tipo de bug	Corrigido em (segundo o SecurityOnline)
Timer	CVE-2026-98260	Use-after-free na limpeza dos timers de CPU POSIX	6.6.158, 6.12.112, 6.18.54, 7.2.8
Signal	CVE-2026-98256	Use-after-free na fila de sinais pendentes	6.18.54, 7.2.8
Memória	CVE-2026-89754	Escrita fora dos limites no percurso de tabelas de páginas usado por mincore()	6.18.50, 7.2.4
Futex	CVE-2026-80775	Use-after-free na configuração do hash privado de futex	6.18.47, 7.1.11, 7.2.1
Scheduler	CVE-2026-98385	Use-after-free na contabilidade de cache do escalonador	7.2.9
SLAB	CVE-2026-97941	Corrupção de lista no alocador de memória SLUB	7.2.7

A maioria é do tipo use-after-free. O kernel libera um trecho de memória, mas continua a usá-lo, e um invasor pode preencher essa memória de novo com dados de sua escolha. Vários também dependem de uma condição de corrida, em que duas operações colidem em um momento exato. Os bugs de timer e de sinais, por exemplo, são acionados quando exec() falha ou entra em corrida em um programa multithread. A chamada exec() substitui um programa em execução por um novo.

Segundo o SecurityOnline, o bug de timer remonta ao Linux 5.7, por isso atinge kernels antigos de suporte de longo prazo. Os bugs do escalonador e do SLAB afetam apenas a série 7.2, de acordo com o site.

Qual é a gravidade

Cinco das seis têm um exploit público de prova de conceito que dá um shell de root, segundo o repositório no GitHub de Kim e o SecurityOnline. A sexta, o bug do SLAB, por enquanto só derruba o kernel. “Uma cadeia de LPE ainda não foi escrita”, diz o repositório.

Kim testou os exploits no Ubuntu 26.04 com o kernel 7.0.0-30-generic e no Arch Linux com o kernel 7.2.4-arch1-2. O bug do escalonador tem alcance mais restrito que os demais. Ele exige a opção de build CONFIG_SCHED_CACHE e uma configuração de tempo de execução ativada, e seu exploit pressupõe quatro CPUs virtuais.

O SecurityOnline classifica quatro dos bugs com gravidade alta (High), com pontuação CVSS máxima de 7,8, e dois ainda aguardam análise. O site não relata ataques reais. Nenhum dos seis está no catálogo Known Exploited Vulnerabilities da CISA, a lista dos EUA de bugs vistos em ataques reais.

A pesquisa deixou de fora, de propósito, a rede, o BPF e bugs que exigem namespaces de usuário. O SecurityOnline argumenta que uma medida comum de hardening, desativar namespaces de usuário sem privilégios ou o BPF, não bloquearia esses bugs.

Celulares Android também são afetados

O bug de timer também funciona no Android, segundo o repositório de Kim. Ele dá root em um Samsung Galaxy S26 Ultra a partir de um app comum, “sem nenhum privilégio adicional de aplicativo”. Kim está segurando esse exploit para Android. Ele será publicado quando a Samsung corrigir seus aparelhos ou quando outra pessoa divulgar um exploit primeiro. Nenhum boletim da Samsung nem data de patch aparece nas fontes.

Como a divulgação aconteceu

Kim relatou os bugs de forma privada à linux-distros, a lista fechada em que os fornecedores de Linux preparam correções antes de um bug se tornar público. O post público de Kim diz que o embargo acordado com esses mantenedores expirou. A divulgação veio dois dias antes do lançamento do Linux 7.3, em 18 de outubro.

O que isso significa para desenvolvedores

Instale o kernel mais recente da sua distribuição e reinicie. Uma correção no kernel não faz nada até que a máquina inicie com o novo kernel. As distribuições costumam fazer backport das correções para seus próprios números de versão. Por isso, procure os seis IDs de CVE nos avisos de segurança do seu fornecedor, em vez de comparar números de versão com a tabela acima.

Corrija primeiro as máquinas de maior risco. Uma fuga de contêiner permite que o código dentro de um contêiner assuma o controle do host inteiro. Isso coloca nós do Kubernetes, servidores de build compartilhados e runners de CI no topo da fila, especialmente runners que fazem build de pull requests de desconhecidos.

Não conte com a desativação de namespaces de usuário ou do BPF como solução temporária. Se você usa aparelhos Android de teste, instale a atualização de segurança da Samsung assim que ela sair, porque o bug de timer funciona a partir de um app comum.

O padrão também merece atenção. Esses bugs estão no código central do kernel, como timers, sinais e o alocador de memória, que todo sistema executa. O isolamento de contêineres depende desse kernel compartilhado, então um bug no kernel pode atravessar uma fronteira que parece sólida vista do espaço de usuário.