Usuários criticam Canonical por atraso na correção de vulnerabilidade TCP no Ubuntu

black and silver padlock in grayscale photography — Vanna Phon / Unsplash

Um grupo de usuários de Linux expressou insatisfação com a Canonical, que não lançou o patch para a vulnerabilidade CVE-2026-98432 no Ubuntu, mais de duas semanas após sua divulgação. A vulnerabilidade permite a execução remota de código através de um ataque de opção INET no protocolo TCP, o que coloca em risco servidores conectados diretamente à Internet.

Outras distribuições Linux, como o Debian, já disponibilizaram patches para essa vulnerabilidade desde os primeiros dias após sua revelação. No entanto, a Canonical classificou a vulnerabilidade como de alta importância, e não como crítica. Isso gerou um debate sobre a real gravidade do problema, uma vez que muitos servidores operam na nuvem, onde pacotes com opção INET costumam ser bloqueados, além de muitos serviços estarem atrás de WAF ou CDN, reduzindo ainda mais o risco.

Adicionalmente, a execução de um ataque bem-sucedido pode ser complexa, uma vez que o kernel mais recente implementou recursos de proteção, como KASLR. A vulnerabilidade foi descoberta por Claude, e a exploração real requer dois passos: ler informações da memória e escrever um callback de volta na memória para executar um comando novamente.