CVE-2026-53362: falha no kernel Linux escapa de containers
A CISA (Cybersecurity and Infrastructure Security Agency) confirmou em 27 de agosto de 2026 a exploração ativa da CVE-2026-53362, falha no subsistema IPv6 do kernel Linux que permite a um usuário dentro de um container escapar para o host, contornar o SELinux e virar root. A brecha, batizada de “ipv6_frag_escape” pela Red Hat, recebeu nota 7.8 (CVSS 3.1) e já tem correção publicada para RHEL 10.
O que é a CVE-2026-53362
O problema está na função __ip6_append_data(), no caminho de fragmentação IPv6 do kernel. Um cálculo incorreto de tamanho de parâmetro gera uma escrita fora dos limites (out-of-bounds write) na estrutura skb_shared_info. Encadeada, essa escrita permite leitura e gravação arbitrária de memória do kernel — o suficiente para sobrescrever credenciais, contornar o SELinux e escalar para root.
Para explorar a falha, o atacante precisa conseguir criar namespaces de rede. Em configurações padrão do RHEL 10, essa permissão já está disponível para usuários sem privilégio via user namespaces — o mesmo mecanismo que sustenta containers rootless com Podman.
Por que o escape de container importa
Um container comprometido normalmente é um problema contido: o atacante fica preso ao namespace daquela aplicação. Uma falha de escape derruba essa fronteira. Em ambientes com múltiplos tenants ou cargas de terceiros no mesmo host — comum em clusters Kubernetes e provedores de hospedagem —, um único container vulnerável vira porta de entrada para o servidor inteiro.
A Red Hat publicou o boletim RHSB-2026-009 em julho de 2026 e já distribuiu correção para o RHEL 10. O OpenShift Container Platform não é afetado, porque roda sobre RHEL 9. Qualquer distribuição ou produto que dependa do kernel do RHEL 10 precisa confirmar se já aplicou o patch.
O mesmo lote trouxe mais duas falhas sob exploração ativa
A CVE-2026-53362 não veio sozinha: no mesmo alerta de 27 de agosto, a CISA adicionou mais duas vulnerabilidades ao catálogo KEV (Known Exploited Vulnerabilities) por evidência de exploração ativa.
ownCloud: falha de 2023 volta a ser explorada
A CVE-2023-49105 afeta o ownCloud Core nas versões 10.6.0 a 10.13.1. O problema está na API WebDAV: quando um usuário não tem chave de assinatura configurada, um atacante sem autenticação consegue acessar, modificar ou apagar qualquer arquivo desse usuário, bastando saber o nome de usuário válido. A falha já foi usada por grupos de fala chinesa para roubar dados de uma agência nuclear filipina e de uma contratada naval, encadeada com outra brecha (CVE-2024-28000) em WordPress.
JFrog Artifactory: gravação fora do diretório do cache Docker
A CVE-2026-66384 é uma falha de path traversal (CWE-22) no JFrog Artifactory. Em condições específicas de repositório remoto, um usuário autenticado consegue gravar arquivos fora do diretório de cache Docker designado, comprometendo a integridade de arquivos acessíveis pelo processo do Artifactory. A CISA confirmou a exploração em 27 de agosto e deu prazo até 10 de setembro de 2026 para agências federais aplicarem a mitigação do fornecedor.
Como se proteger
- Atualize o kernel para a versão corrigida assim que disponível para sua distribuição — é a única correção que resolve a causa raiz da CVE-2026-53362.
- Se a atualização não puder ser aplicada de imediato, restrinja o acesso a user namespaces sem privilégio com
sudo sysctl -w user.max_user_namespaces=0, ciente de que isso quebra Podman rootless e sandboxes que dependam desse recurso. - Atualize o ownCloud Core para além da versão 10.13.1 e confirme se todos os usuários têm chave de assinatura configurada para URLs pré-assinadas do WebDAV.
- Aplique a mitigação da JFrog para o Artifactory antes de 10 de setembro de 2026, ou suspenda o uso do produto caso a correção ainda não esteja disponível para sua versão.
- Priorize os três CVEs em qualquer ativo exposto publicamente — é o critério que a própria CISA usa na diretiva BOD 26-04.
Perguntas frequentes
A CVE-2026-53362 afeta qualquer distribuição Linux?
A confirmação da Red Hat cobre o RHEL 10. Qualquer produto que dependa do kernel do RHEL 10, incluindo produtos em camadas, está potencialmente exposto. Distribuições com kernel a partir da série 6.0 devem verificar se receberam o backport da correção.
O OpenShift Container Platform está vulnerável?
Não. O OpenShift roda sobre RHEL 9, que não é afetado por essa falha específica.
Desabilitar user namespaces é uma solução definitiva?
Não. É um workaround que reduz a superfície de ataque, mas não corrige a causa raiz e quebra funcionalidades que dependem de user namespaces sem privilégio, como containers rootless. A recomendação é aplicar o kernel atualizado assim que possível.
Por que a CISA agrupou essas três falhas no mesmo alerta?
As três entraram no catálogo KEV no mesmo dia porque cada uma teve evidência de exploração ativa confirmada de forma independente. Elas não estão tecnicamente relacionadas — kernel Linux, ownCloud e JFrog Artifactory são produtos distintos —, mas compartilham o mesmo prazo de atenção prioritária para agências federais dos EUA.
Empresas fora do governo dos EUA precisam se preocupar?
Sim. O catálogo KEV é usado como referência de priorização por times de segurança no mundo todo, não só por agências federais americanas. Exploração ativa confirmada significa que o exploit já circula, independentemente de quem é o alvo formal da diretiva.
Conclusão
Kernel Linux, ownCloud e JFrog Artifactory têm pouco em comum tecnicamente, mas o alerta da CISA de 27 de agosto deixa um recado direto: exploração ativa não espera ciclo de patch. Quem administra servidores Linux, especialmente hosts com containers multi-tenant, deveria tratar a CVE-2026-53362 como prioridade imediata — o escape de container é o tipo de falha que transforma um incidente isolado em comprometimento total do host.
