Linux kernel: GhostLock, Bad Epoll, Januscape, OVSwrap

Várias vulnerabilidades graves do Linux kernel foram divulgadas durante julho de 2026. Estes problemas são particularmente importantes para servidores de hosting, ambientes multiutilizador, plataformas de containers e hosts de virtualização KVM.

As vulnerabilidades cobertas por este aviso são:

• CVE-2026-43499: GhostLock
• CVE-2026-46242: Bad Epoll
• CVE-2026-53359: Januscape
• CVE-2026-64531: OVSwrap

Consoante o sistema operativo, a versão do kernel e os módulos ativos, estas vulnerabilidades podem permitir que um processo sem privilégios obtenha acesso root, escape de um container, escape de uma máquina virtual ou provoque o crash do host físico.

Embora sejam sobretudo vulnerabilidades locais, continuam a ser muito relevantes para servidores de hosting expostos à Internet. Um atacante que comprometa um website, um plugin, uma instalação de CMS ou uma conta de cliente pode já ter acesso local suficiente para atacar o kernel subjacente.

Visão geral das vulnerabilidades

Vulnerabilidade	Impacto principal	Sistemas mais relevantes
GhostLock: CVE-2026-43499	Escalada local para root e escape de container	Servidores multi-tenant, multiutilizador e com containers
Bad Epoll: CVE-2026-46242	Escalada local para root	Streams de kernel mais recentes de Enterprise Linux e Ubuntu
Januscape: CVE-2026-53359	Escape de guest KVM para o host e crash do host	Hypervisors KVM e servidores que expõem /dev/kvm
OVSwrap: CVE-2026-64531	Escalada local para root através do Open vSwitch	Sistemas que contêm um módulo de kernel Open vSwitch afetado

GhostLock: CVE-2026-43499

O GhostLock é uma vulnerabilidade use-after-free no código de real-time mutex e de futex priority-inheritance do Linux kernel.

Um processo local sem privilégios pode explorar a vulnerabilidade para obter privilégios de root. A mesma vulnerabilidade pode também ser usada a partir do interior de um container para escapar e comprometer o host.

Não são necessárias Linux capabilities especiais, e existem detalhes de exploração publicamente disponíveis.

Não existe uma mitigação prática por configuração. É necessário um kernel corrigido ou um livepatch verificado.

AlmaLinux, Rocky Linux e sistemas compatíveis com RHEL

O GhostLock afeta os ramos de kernel suportados do AlmaLinux 8, 9 e 10.

Os kernels AlmaLinux seguintes incluem a correção:

Sistema operativo	Kernel corrigido mínimo
AlmaLinux 8	4.18.0-553.141.2.el8_10
AlmaLinux 9	5.14.0-687.24.1.el9_8
AlmaLinux 10	6.12.0-211.32.1.el10_2

Os administradores de Rocky Linux e RHEL devem instalar o kernel mais recente disponível nos repositórios do respetivo fabricante, em vez de instalarem pacotes de outra distribuição.

CloudLinux

O GhostLock afeta os streams de kernel CloudLinux suportados.

Os administradores devem instalar o kernel CloudLinux mais recente ou confirmar que o KernelCare aplicou um livepatch que cobre:

CVE-2026-43499

Verificar a cobertura do KernelCare:

kcarectl --update
kcarectl --patch-info | grep CVE-2026-43499

Oracle Linux

Os sistemas Oracle Linux podem executar:

• Red Hat Compatible Kernel: RHCK
• Unbreakable Enterprise Kernel: UEK

A Oracle publicou atualizações de segurança para os streams de kernel RHCK e UEK afetados.

Identifique o kernel Oracle Linux ativo:

cat /etc/oracle-release
uname -r
rpm -q kernel kernel-core kernel-uek kernel-uek-core

Um kernel em execução que contenha uek é um Unbreakable Enterprise Kernel.

Instale o kernel mais recente a partir do repositório Oracle Linux adequado e reinicie. As versões RHCK e UEK não devem ser comparadas diretamente, porque usam nomes de pacotes e numeração de versões diferentes.

Ubuntu

A Canonical classifica o GhostLock como vulnerabilidade de severidade alta.

A 5 de agosto de 2026, o estado do kernel Ubuntu padrão inclui:

Versão do Ubuntu	Estado
Ubuntu 26.04 LTS	Corrigido
Ubuntu 24.04 LTS	Corrigido
Ubuntu 22.04 LTS	Atualização em curso
Ubuntu 20.04 LTS	Atualização em curso

O Ubuntu disponibiliza várias variantes de kernel, incluindo generic, Hardware Enablement, cloud-optimized, low-latency, real-time e FIPS.

O estado pode diferir entre variantes de kernel. Os administradores devem verificar o pacote exato instalado, e não apenas o número da versão do Ubuntu.

uname -r
dpkg -S /boot/vmlinuz-$(uname -r)

Instale todas as atualizações disponíveis e reinicie:

apt update
apt full-upgrade -y
reboot

Onde o Ubuntu Livepatch está ativo, confirme que esta CVE específica está coberta:

canonical-livepatch refresh
canonical-livepatch status --verbose

Bad Epoll: CVE-2026-46242

O Bad Epoll é uma vulnerabilidade de race condition e use-after-free no subsistema de notificação de eventos epoll do Linux kernel.

Um processo sem privilégios pode desencadear a condição vulnerável e convertê-la em acesso arbitrário à memória do kernel e em execução ao nível de root.

Este problema é particularmente relevante para servidores multi-tenant, porque o epoll é um mecanismo central do Linux utilizado por servidores web, workers PHP, bases de dados e muitos outros serviços.

Não existe uma mitigação prática em tempo de execução, porque o epoll não pode ser desativado num servidor Linux em funcionamento. É necessário um kernel corrigido ou um livepatch verificado.

AlmaLinux

O Bad Epoll afeta:

• AlmaLinux 9
• AlmaLinux 10

O AlmaLinux 8 não é afetado.

A correção está incluída em:

Sistema operativo	Kernel corrigido mínimo
AlmaLinux 9	5.14.0-687.23.1.el9_8
AlmaLinux 10	6.12.0-211.31.1.el10_2

Os kernels mais recentes com a correção do GhostLock incluem também a correção do Bad Epoll.

CloudLinux

As plataformas CloudLinux afetadas incluem:

• CloudLinux 9
• CloudLinux 9 LTS
• CloudLinux 10

Os streams de kernel CloudLinux 7 e CloudLinux 8 não são afetados por esta vulnerabilidade específica.

Verifique a cobertura do KernelCare:

kcarectl --patch-info | grep CVE-2026-46242

Oracle Linux

A Oracle publicou atualizações para o Bad Epoll para os streams de kernel RHCK ou UEK afetados do Oracle Linux 9 e 10.

Instale todas as atualizações atuais do Oracle Linux e confirme que o servidor arranca com o kernel RHCK ou UEK atualizado.

Ubuntu

A Canonical classifica o Bad Epoll como severidade alta.

O estado do kernel Ubuntu padrão a 5 de agosto de 2026 inclui:

Versão do Ubuntu	Estado
Ubuntu 26.04 LTS	Corrigido
Ubuntu 24.04 LTS	Atualização em curso
Ubuntu 22.04 LTS	Não afetado
Ubuntu 20.04 LTS	Não afetado

As variantes especializadas de kernel Ubuntu podem ter um estado diferente.

Identifique o pacote de kernel exato:

uname -r
dpkg -S /boot/vmlinuz-$(uname -r)

Instale todas as atualizações do Ubuntu atualmente disponíveis:

apt update
apt full-upgrade -y

Reinicie onde tenha sido instalada uma atualização de kernel:

reboot

Januscape: CVE-2026-53359

O Januscape é uma vulnerabilidade no código de gestão de memória KVM/x86 do Linux kernel.

O seu caminho de ataque mais grave permite que uma máquina virtual maliciosa escape do guest e execute comandos como root no host físico de virtualização.

A vulnerabilidade pode também permitir que um guest malicioso provoque o crash do kernel do host, afetando todas as máquinas virtuais em execução no servidor.

O Januscape afeta a virtualização x86 Intel e AMD. Servidores que normalmente não alojam máquinas virtuais podem ainda assim estar expostos onde um processo sem privilégios consegue aceder a /dev/kvm.

Verificar a exposição KVM

lsmod | grep '^kvm'
ls -l /dev/kvm 2>/dev/null

AlmaLinux, CloudLinux e sistemas compatíveis com RHEL

O Januscape afeta os streams de kernel aplicáveis com KVM ativo em AlmaLinux, CloudLinux e outros sistemas compatíveis com RHEL.

Os kernels AlmaLinux mais recentes com a correção do GhostLock indicados acima incluem também a correção do Januscape.

Os administradores devem instalar o kernel mais recente do fabricante e reiniciar.

Oracle Linux

A Oracle publicou atualizações para o Januscape para os streams de kernel RHCK e UEK afetados.

A correção deve ser aplicada no host KVM físico. Atualizar apenas os sistemas operativos dos guests não protege o hypervisor.

O Oracle Linux Virtualization Manager e os outros hosts KVM devem ser atualizados através dos repositórios Oracle Linux adequados.

Ubuntu

A Canonical indica que o Januscape afeta o Ubuntu em sistemas x86 Intel e AMD onde a virtualização KVM aninhada (nested) está ativa.

Verifique se a virtualização aninhada está ativa:

grep . /sys/module/kvm_{amd,intel}/parameters/nested 2>/dev/null

Um valor 1 ou Y indica que a virtualização aninhada está ativa.

Onde a virtualização aninhada não é necessária, pode ser desativada temporariamente:

echo 'options kvm_amd nested=0' \
> /etc/modprobe.d/disable-kvm-nesting.conf

echo 'options kvm_intel nested=0' \
>> /etc/modprobe.d/disable-kvm-nesting.conf

Reinicie o servidor ou recarregue em segurança o módulo KVM relevante.

Esta mitigação não substitui a atualização de kernel necessária.

Mitigação temporária para servidores sem virtualização

Num servidor que não utiliza virtualização KVM, impeça o carregamento dos módulos específicos do hardware:

printf 'install kvm_intel /bin/false\ninstall kvm_amd /bin/false\n' \
> /etc/modprobe.d/disable-kvm.conf

Não descarregue nem bloqueie módulos KVM num servidor que esteja nesse momento a executar máquinas virtuais.

OVSwrap: CVE-2026-64531

O OVSwrap é uma vulnerabilidade do Linux kernel no código de validação de ações do Open vSwitch.

Um processo local sem privilégios pode explorar o módulo de kernel vulnerável para obter acesso root.

O Open vSwitch não precisa de estar configurado nem em execução ativa. O módulo vulnerável pode ser carregado automaticamente quando é feito um pedido especialmente construído.

Existe um exploit público.

Verificar se o Open vSwitch está disponível

find /lib/modules/$(uname -r) \
-type f -name 'openvswitch.ko*' 2>/dev/null

Verifique se está carregado nesse momento:

lsmod | grep '^openvswitch'

A vulnerabilidade existe no módulo de kernel. Verificar apenas se o pacote userspace do Open vSwitch está instalado não é suficiente.

AlmaLinux, Rocky Linux, RHEL e CloudLinux

O OVSwrap afeta partes das famílias de kernel Enterprise Linux 9 e 10.

Os servidores afetados devem instalar o kernel mais recente do fabricante ou confirmar que foi aplicado o livepatch KernelCare correspondente.

kcarectl --patch-info | grep CVE-2026-64531

Oracle Linux

Os administradores de Oracle Linux devem verificar se o módulo Open vSwitch está disponível no kernel RHCK ou UEK ativo.

Instale todas as atualizações de segurança de kernel do Oracle Linux atuais e aplique a mitigação temporária do módulo onde o Open vSwitch não é necessário.

Ubuntu

Os servidores Ubuntu devem ser tratados como potencialmente expostos onde o kernel em execução contém o módulo Open vSwitch e o pacote instalado não foi confirmado como corrigido.

Identifique o pacote do kernel em execução:

uname -r
dpkg -S /boot/vmlinuz-$(uname -r)

Verifique a existência do módulo:

find /lib/modules/$(uname -r) \
-type f -name 'openvswitch.ko*' 2>/dev/null

Instale todas as atualizações de segurança do Ubuntu atualmente disponíveis.

Mitigação temporária para o OVSwrap

Num servidor que não utiliza Open vSwitch, impeça o carregamento do módulo:

echo 'install openvswitch /bin/false' \
> /etc/modprobe.d/ovswrap.conf

Se o módulo já estiver carregado e não estiver em uso:

modprobe -r openvswitch

No Ubuntu, reconstrua o RAM filesystem inicial:

update-initramfs -u

Em sistemas compatíveis com RHEL e Oracle Linux:

dracut -f

Não aplique esta mitigação em ambientes de virtualização, de rede ou de containers que dependam realmente do Open vSwitch.

Atualizar AlmaLinux, CloudLinux, Rocky Linux e sistemas compatíveis com RHEL

Atualize e reinicie. Verifique o kernel em execução com uname -r (e rpm -q kernel kernel-core kernel-uek em Oracle Linux, dpkg -S /boot/vmlinuz-$(uname -r) em Ubuntu). Um livepatch só conta se listar a CVE.

Atualizar Oracle Linux

Instale todas as atualizações disponíveis do Oracle Linux:

dnf clean all
dnf update -y

Reveja os kernels RHCK e UEK instalados:

rpm -q kernel kernel-core kernel-uek kernel-uek-core

Verifique o kernel de arranque predefinido:

grubby --default-kernel

Reinicie e verifique:

reboot

uname -r

Atualizar Ubuntu

Identifique a versão do Ubuntu e o pacote do kernel em execução:

cat /etc/os-release
uname -r
dpkg -S /boot/vmlinuz-$(uname -r)

Instale todas as atualizações disponíveis:

apt update
apt full-upgrade -y

Verifique se é necessário reiniciar:

test -f /var/run/reboot-required \
&& cat /var/run/reboot-required

Reinicie e verifique:

reboot

uname -r

O estado de segurança do kernel Ubuntu generic não pode ser aplicado automaticamente às variantes de kernel Hardware Enablement, cloud-optimized, low-latency, real-time ou FIPS.

Verificação após a atualização

Depois de aplicar as atualizações, verifique o sistema operativo e o kernel ativo:

cat /etc/os-release
uname -r

Verifique se continuam carregados módulos KVM ou Open vSwitch:

lsmod | grep -E '^(kvm|openvswitch)'

Em sistemas com KernelCare:

kcarectl --patch-info \
| grep -E \
'CVE-2026-43499|CVE-2026-46242|CVE-2026-53359|CVE-2026-64531'

Em sistemas Ubuntu com Livepatch:

canonical-livepatch status --verbose

Recomendações da EuroVPS

A EuroVPS recomenda aos administradores de servidores Linux de hosting e de virtualização:

1. Verificar a cobertura do KernelCare ou do Ubuntu Livepatch individualmente para cada CVE.
2. Desativar o KVM ou a virtualização aninhada onde não são necessários.
3. Bloquear o módulo Open vSwitch onde está presente mas não é necessário.
4. Investigar websites ou contas de utilizador comprometidos, uma vez que a correção do kernel não remove um comprometimento existente.

Painéis de controlo como o cPanel e o Plesk não substituem o kernel subjacente do sistema operativo. As atualizações de kernel têm de ser instaladas através do fabricante do sistema operativo ou de um fornecedor de livepatch aprovado.

Precisa de ajuda?

Se o seu servidor é gerido pela EuroVPS, abra um ticket: verificamos a exposição, aplicamos as atualizações, coordenamos o reinício e analisamos o servidor em busca de sinais de comprometimento.

Shared FAQ page chrome (breadcrumb, dates, read time, «Continue a ler», enquiry block, category labels): see INDEX-AND-CHROME.md. Translate once.