CVE-2026-46333 (ssh-keysign-pwn): falha ptrace no Linux

Foi divulgada uma nova vulnerabilidade do kernel Linux, registada como CVE-2026-46333 e publicamente conhecida como ssh-keysign-pwn. O problema afeta a lógica de verificação de acesso do ptrace no kernel Linux durante a saída de um processo e pode permitir que um utilizador local sem privilégios leia ficheiros sensíveis pertencentes ao root, em determinadas condições. Já estão disponíveis exploits públicos de prova de conceito.

Esta vulnerabilidade é especialmente importante para sistemas Linux multiutilizador, servidores multi-tenant e ambientes em que utilizadores locais não confiáveis ou parcialmente confiáveis têm acesso a shell.

---

O que é a CVE-2026-46333?

A CVE-2026-46333 é uma race condition do kernel Linux no caminho de verificação de acesso do ptrace. Durante o processo de saída de um programa privilegiado existe uma breve janela em que o processo já libertou o seu memory descriptor mas ainda mantém file descriptors abertos. Um processo local sem privilégios pode abusar desta race para duplicar file descriptors do processo privilegiado que está a terminar.

Os exploits públicos demonstram atualmente o acesso a ficheiros sensíveis através de programas SUID privilegiados, como:

• ssh-keysign, que pode aceder às chaves privadas de host do SSH
• chage, que pode aceder a /etc/shadow

---

Sistemas afetados

Com base nos avisos dos fornecedores disponíveis a 15 de maio de 2026:

AlmaLinux

A AlmaLinux confirmou que o AlmaLinux 9 e o AlmaLinux 10 são vulneráveis, e os exploits públicos funcionam de forma fiável em ambos. O AlmaLinux 8 não é explorável com a atual prova de conceito pública, mas o erro subjacente na lógica do kernel existe e a AlmaLinux está também a preparar patches para ele.

Os kernels corrigidos da AlmaLinux estão neste momento disponíveis no repositório de testing:

Sistema operativo	Versão do kernel corrigida
AlmaLinux 8	kernel-4.18.0-553.124.4.el8_10
AlmaLinux 9	kernel-5.14.0-611.54.6.el9_7
AlmaLinux 10	kernel-6.12.0-124.56.5.el10_1

CloudLinux

A CloudLinux confirmou que o CloudLinux 8 LTS, o CloudLinux 9 e o CloudLinux 10 são afetados pela atual prova de conceito pública. O CloudLinux 7 não é afetado. O CloudLinux 7h e o CloudLinux 8 mainstream contêm a race subjacente do kernel, embora a atual prova de conceito pública não os explore diretamente.

A CloudLinux recomendou uma mitigação imediata ao nível do host com o sysctl específico do CloudLinux kernel.user_ptrace=0.

---

Mitigação imediata

A correção definitiva é instalar um kernel corrigido do fornecedor do seu sistema operativo e reiniciar nesse kernel. Até o kernel corrigido estar instalado, as mitigações seguintes podem reduzir a exposição.

---

Mitigação para servidores CloudLinux

Em sistemas CloudLinux, aplique a seguinte mitigação:

sysctl -w kernel.user_ptrace=0
echo 'kernel.user_ptrace = 0' | sudo tee /etc/sysctl.d/99-ptracenull.conf
sudo sysctl --system

Verificação:

sysctl kernel.user_ptrace

Resultado esperado:

kernel.user_ptrace = 0

Esta definição desativa a utilização de ptrace sem privilégios em sistemas CloudLinux e bloqueia, ao nível do kernel, a prova de conceito pública atualmente conhecida. A CloudLinux nota que isto pode afetar ferramentas como gdb -p, strace -p e outras ferramentas de debugging ou de monitorização que dependem da ligação a processos sem privilégios.

---

Mitigação para servidores AlmaLinux

Em sistemas AlmaLinux, a AlmaLinux recomenda apertar o ptrace_scope do Yama:

sysctl -w kernel.yama.ptrace_scope=3
echo 'kernel.yama.ptrace_scope = 3' > /etc/sysctl.d/99-ssh-keysign-pwn.conf
sysctl --system

Verificação:

sysctl kernel.yama.ptrace_scope

Resultado esperado:

kernel.yama.ptrace_scope = 3

A AlmaLinux indica que definir kernel.yama.ptrace_scope para 2 ou 3 bloqueia os exploits públicos conhecidos. O valor 3 desativa por completo o ptrace attach, o que pode afetar ferramentas de debugging como gdb ou strace -p.

---

Hardening adicional opcional

Onde for adequado, os administradores podem também remover o bit SUID dos binários alvo atualmente conhecidos:

chmod u-s /usr/libexec/openssh/ssh-keysign 2>/dev/null
chmod u-s /usr/bin/chage

Verificação:

ls -l /usr/libexec/openssh/ssh-keysign /usr/bin/chage

As permissões já não devem mostrar s no campo de execução do proprietário.

Esta é apenas uma mitigação parcial. Cobre os alvos atualmente conhecidos dos exploits públicos, mas não corrige o problema subjacente do kernel. Pode também afetar a autenticação SSH baseada em host ou a utilização de chage por utilizadores que não sejam root.

---

Correção definitiva: atualizar o kernel

Assim que os pacotes corrigidos estiverem disponíveis nos repositórios de produção do seu fornecedor, atualize o kernel e reinicie:

dnf clean all
dnf update -y 'kernel*'
reboot

Depois de reiniciar, verifique o kernel em execução:

uname -r
rpm -q kernel | sort -V

Para AlmaLinux 8, 9 e 10, os kernels corrigidos ficaram inicialmente disponíveis no repositório de testing a 15 de maio de 2026. A disponibilidade em produção deve ser confirmada no repositório do fornecedor antes de aplicar atualizações em sistemas de produção críticos.

---

KernelCare / live patching

A CloudLinux declarou que estão a ser preparados live patches KernelCare para os sistemas afetados. Assim que estiverem disponíveis, os servidores com KernelCare devem poder receber a correção sem reiniciar, através do processo normal de live patching do KernelCare.

Atualizar o KernelCare manualmente:

kcarectl --update

Verificar os patches aplicados:

kcarectl --patch-info | grep CVE-2026-46333

---

Recomendação da EuroVPS

Mitigue agora, atualize quando o kernel do fornecedor chegar ao repositório de produção e, entretanto, reveja que utilizadores locais têm acesso a shell.

---

Precisa de ajuda?

Abra um ticket de suporte a partir da área de cliente e os nossos engenheiros mitigam, atualizam e agendam a reinicialização por si.