Uma nova vulnerabilidade crítica no Kernel Linux colocou administradores de sistemas e profissionais de segurança em estado de alerta. Batizada de OVSwrap e registrada como CVE-2026-64531, a falha afeta o Open vSwitch (OVS) e pode permitir que usuários locais sem privilégios obtenham acesso root ao sistema. Como o problema está localizado no caminho de dados do módulo do kernel, seu impacto pode atingir servidores físicos, máquinas virtuais e ambientes de computação em nuvem que utilizam o componente vulnerável.
O risco é especialmente elevado em servidores compartilhados e infraestruturas modernas baseadas em contêineres, onde usuários ou cargas de trabalho isoladas coexistem no mesmo host. Em determinadas configurações, basta possuir acesso local ao sistema para explorar a vulnerabilidade e assumir controle total da máquina, comprometendo dados, serviços e toda a infraestrutura.
Neste artigo, você entenderá como a vulnerabilidade OVSwrap (CVE-2026-64531) funciona, por que um erro antigo voltou a ser explorável após uma alteração recente no kernel, quais distribuições Linux são afetadas e quais medidas devem ser adotadas imediatamente para reduzir os riscos.
O que é a vulnerabilidade OVSwrap e qual seu impacto
A OVSwrap é uma vulnerabilidade de escalonamento local de privilégios (Local Privilege Escalation – LPE) encontrada no Open vSwitch, um projeto amplamente utilizado para implementar switches virtuais em ambientes de virtualização, computação em nuvem, redes definidas por software (SDN) e plataformas de contêineres.
É importante destacar que o Open vSwitch é composto por duas partes distintas. A primeira é um daemon executado em espaço de usuário, responsável pelo gerenciamento da infraestrutura virtual. A segunda é o módulo do kernel, conhecido como datapath, que processa pacotes diretamente no Kernel Linux para oferecer alto desempenho.
A vulnerabilidade está justamente nesse módulo do kernel. Quando carregado em versões vulneráveis, ele pode ser explorado por um usuário local para executar código com privilégios máximos do sistema operacional.
Na prática, isso significa que um invasor com acesso limitado pode escapar das restrições impostas à sua conta e assumir controle completo do servidor.
Esse tipo de falha é considerado extremamente grave porque compromete um dos principais mecanismos de segurança do Linux: a separação entre usuários comuns e o usuário root.
Como a vulnerabilidade OVSwrap funciona
A exploração da CVE-2026-64531 ocorre durante o processamento de mensagens enviadas ao kernel pela interface Netlink, mecanismo utilizado para comunicação entre aplicações em espaço de usuário e diversos subsistemas internos do Linux.
Ao enviar atributos especialmente manipulados, um invasor consegue provocar um estouro de inteiro (integer overflow) durante a validação de estruturas internas.
Esse erro faz com que determinados cálculos de tamanho sejam interpretados incorretamente, permitindo corrupção controlada de memória dentro do kernel.
Uma vez obtido esse comportamento, o exploit utiliza técnicas conhecidas para redirecionar a execução do kernel e obter privilégios de root.
Embora a exploração exija acesso local, ela não depende de permissões administrativas anteriores, tornando-se especialmente perigosa em servidores multiusuário e ambientes compartilhados.
Entenda a causa raiz da falha
O aspecto mais interessante da OVSwrap é que sua origem remonta a um código introduzido há aproximadamente 13 anos.
Durante todo esse período, o defeito permaneceu praticamente inexplorável devido a uma limitação existente no processamento dos atributos Netlink.
O campo nla_len, responsável por armazenar o tamanho desses atributos, utiliza apenas 16 bits.
Na implementação original, existia uma limitação de aproximadamente 32 KiB, suficiente para impedir que mensagens maiores ativassem o comportamento vulnerável.
Em março de 2025, entretanto, uma modificação destinada a melhorar a escalabilidade do Open vSwitch removeu essa limitação.
A alteração buscava resolver problemas enfrentados por grandes ambientes de virtualização e infraestrutura em nuvem.
Como consequência não intencional, o antigo defeito passou a ser explorável.
Agora, mensagens Netlink suficientemente grandes podem provocar um estouro de inteiro, levando à corrupção de memória e, posteriormente, ao escalonamento de privilégios.
Esse episódio demonstra como mudanças aparentemente simples podem reativar vulnerabilidades históricas em componentes críticos do Kernel Linux.
Distribuições Linux afetadas
Os pesquisadores conseguiram reproduzir a vulnerabilidade em diversas distribuições populares utilizando versões vulneráveis do kernel.
Entre elas estão:
- Ubuntu
- Debian
- Fedora
- Arch Linux
- Alpine Linux
- Rocky Linux
O comportamento da exploração varia conforme os mecanismos adicionais de proteção adotados por cada distribuição.
No Ubuntu, por exemplo, políticas do AppArmor podem dificultar algumas etapas do exploit.
Já distribuições que utilizam SELinux ou outras tecnologias de endurecimento do kernel também podem impor obstáculos adicionais.
Entretanto, essas soluções não corrigem a vulnerabilidade.
Elas apenas reduzem a confiabilidade da exploração em determinados cenários.
Outro fator preocupante é que pesquisadores já disponibilizaram uma prova de conceito (PoC) capaz de demonstrar a exploração da falha, o que tende a acelerar o desenvolvimento de ataques por agentes maliciosos.
Como proteger sistemas Linux contra a CVE-2026-64531
A principal medida de proteção consiste em instalar imediatamente as atualizações de kernel disponibilizadas pela distribuição utilizada.
Depois da atualização, é indispensável reiniciar o servidor para que o novo kernel seja carregado.
Caso o Open vSwitch não seja utilizado, outra medida importante é impedir que seu módulo seja carregado automaticamente.
Crie um arquivo em /etc/modprobe.d/ contendo:
install openvswitch /bin/false blacklist openvswitchDepois execute:
sudo depmod -aCaso o módulo esteja carregado:
sudo modprobe -r openvswitchAntes de removê-lo, verifique se nenhum serviço depende do Open vSwitch.
Também é recomendável revisar usuários com acesso local ao servidor, limitar contas desnecessárias e monitorar atividades suspeitas enquanto os patches não são aplicados.
Conclusão
A OVSwrap (CVE-2026-64531) demonstra que vulnerabilidades de escalonamento local de privilégios continuam entre as ameaças mais perigosas para administradores de sistemas Linux. Embora não permita invasões remotas diretamente, uma vez que um invasor obtenha acesso local ao sistema, a falha pode resultar em comprometimento total do servidor.
O caso também evidencia como alterações voltadas para desempenho podem reativar defeitos históricos em componentes críticos do Kernel Linux, reforçando a importância de auditorias contínuas e da aplicação rápida de atualizações de segurança.
Se sua infraestrutura utiliza Open vSwitch, verifique imediatamente a versão do kernel em execução, acompanhe os boletins de segurança da sua distribuição e aplique os patches assim que estiverem disponíveis. Em ambientes onde o módulo não é necessário, bloqueá-lo preventivamente é uma medida simples que pode reduzir significativamente a superfície de ataque.