Exploit pedit COW no kernel Linux obtém root sem alterar arquivos

O que é a falha

A CVE-2026-46331, apelidada de pedit COW, é uma vulnerabilidade no kernel do Linux, mais precisamente no subsistema de controle de tráfego. O kernel é o núcleo do sistema: ele coordena memória, processos, rede e permissões. Quando algo quebra nessa camada, o estrago tende a ser grande.

O risco descrito aqui é de elevação de privilégio local. Em outras palavras, alguém ou algum processo que já tenha acesso ao sistema, mesmo sem permissões administrativas, conseguiria virar root. No Linux, root significa o nível máximo de controle, sem freios.

Como o ataque funciona

A falha está no componente act_pedit, ligado ao controle de tráfego de rede do kernel Linux. Esse recurso serve para manipular regras de rede e tratar pacotes, mas, segundo a publicação, uma brecha nesse caminho pode ser explorada para ganhar privilégios indevidos.

O detalhe que muda tudo é que o exploit chega ao root sem modificar arquivos no disco. Isso apaga as pistas tradicionais, como binários substituídos ou scripts gravados em diretórios do sistema. O ataque não fica invisível, mas exige atenção redobrada a processos, contas, comandos executados e mudanças de privilégio.

Sinais de alerta

Como o material não traz versões afetadas nem indicadores técnicos específicos, a detecção precisa focar em comportamento anormal nos ambientes Linux:

• usuários comuns executando comandos que normalmente exigem privilégios elevados;
• processos surgindo com permissão de root sem justificativa operacional;
• uso inesperado de recursos de controle de tráfego de rede;
• sessões locais ou remotas com atividade fora do padrão;
• alertas de segurança relacionados a mudanças de privilégio.

Um exemplo concreto: uma conta de aplicação, criada só para rodar um serviço, que de repente começa a iniciar processos como root. Esse comportamento deve ser investigado na hora.

Como se proteger

O primeiro passo é tratar o caso como risco de privilégio local. Mesmo sem versões afetadas confirmadas, vale revisar a exposição em servidores Linux e estações críticas desde já.

• mantenha inventário dos sistemas Linux e das versões de kernel em uso;
• acompanhe os comunicados da distribuição Linux do seu ambiente;
• reduza contas locais desnecessárias e revise acessos administrativos;
• monitore tentativas de elevação de privilégio e execução como root;
• evite conceder acesso shell a usuários ou serviços que não precisam dele.

Priorize os servidores com múltiplos usuários, ambientes de hospedagem, máquinas compartilhadas e sistemas expostos a acessos de terceiros. São esses os alvos mais convidativos para uma escalada de privilégio.

Checklist prático

1. Liste todos os servidores Linux e identifique quais usam recursos de controle de tráfego do kernel.
2. Revise contas locais, chaves de acesso e permissões sudo, removendo privilégios desnecessários.
3. Ative ou ajuste o monitoramento para alertar quando processos comuns passarem a executar como root.
4. Acompanhe as atualizações da sua distribuição Linux e planeje a janela de correção assim que houver orientação aplicável.
5. Investigue qualquer atividade de root sem origem clara, mesmo que nenhum arquivo tenha sido alterado no disco.

Perguntas frequentes

A falha permite ataque remoto?

O material descreve o risco como local: um usuário sem privilégios no próprio sistema poderia obter root. Não há informação indicando exploração remota.

O que significa obter root?

Significa conquistar o controle administrativo máximo no Linux. Com root, um invasor pode alterar configurações, acessar dados e controlar os serviços do sistema.

Se não modifica arquivos no disco, ainda dá para detectar?

Sim. A detecção precisa olhar além dos arquivos alterados: processos, sessões, comandos, mudanças de privilégio e uso incomum de recursos de rede também são evidências valiosas.

Conheça: Pentest, Threat Intelligence com IA, Conscientização de Segurança, SGSI, Plano Diretor de Segurança, Auditoria Interna, Governança de MFA e Cofre TOTP, ISO 42001 - IA, Diagnóstico Gratuito de Segurança. lcsec.io

Fontes:
Trechos fornecidos na entrada