O kernel Linux tem hoje duas falhas de execução remota com detalhes públicos e nenhum patch disponível. A pior parte: uma delas nem exige senha.
O caso é do ksmbd, o servidor SMB embutido no próprio kernel, a peça que faz um servidor Linux falar o protocolo de arquivos do Windows. A ZDI, o programa de pesquisa da Trend Micro, classificou as duas com nota 9.0.
As duas falhas
A primeira, ZDI-CAN-33774, é uma corrida no despacho de protocolo que roda sem autenticação: uma rajada de pacotes SMB1 seguida de um pacote SMB2 na mesma conexão faz o worker processar dados de um com o handler do outro, lendo além do fim do buffer. A segunda, ZDI-CAN-33549, é um subfluxo de inteiro no caminho SMB Direct, e pede três coisas: interface com RDMA, compartilhamento gravável e um cliente negociando SMB Direct.
O estado da correção é o que assusta
Nenhuma das duas tem correção nomeada no kernel principal nem na árvore de integração, e o projeto do kernel só atribui identificador CVE depois que a correção chega à árvore estável, o que significa que hoje essas falhas não têm CVE, só detalhes públicos. O mantenedor do caminho SMB Direct enviou correção para um dos casos mirando o próximo ciclo de desenvolvimento, segundo a cobertura técnica, e ainda leva semanas até a correção descer às distribuições.
A história por trás da divulgação
Os relatórios saíram da TrendAI, o scanner de IA da própria Trend Micro, e foram copiados para as listas públicas do kernel junto com o canal privado, sem patch nenhum anexado.
A documentação de segurança do kernel, atualizada em maio sob orientação de Linus Torvalds, diz que bug encontrado por IA é, por definição, bug já público. O mantenedor do kernel estável respondeu que, sem patch e em lista pública, não havia muito a fazer, e pediu que o processo de submissão fosse corrigido.
O que fazer, em dois comandos
Para quem opera, a checagem é de dois comandos: systemctl status ksmbd e lsmod | grep ksmbd confirmam se o módulo está ativo. O Red Hat Enterprise Linux não traz ksmbd por padrão, e servidor que não precisa de SMB no kernel resolve o risco desligando o módulo e fechando a porta 445. Quem precisa do serviço, mantém a superfície atrás de firewall e acompanha a árvore estável.
É o mesmo desenho de resposta do RCE no kernel Windows via SMB/RDP: patch quando existe, e enquanto não existe, superfície mínima e segmentação. E é a mesma semana do PHP2Shell: o mês produziu dois casos maiores nascidos do mesmo vazio, a janela entre o detalhe público e a correção disponível.
Na Tech86, governança de superfície de kernel é projeto: inventariar o que roda, o que expõe porta e o que desligar até a correção descer à distribuição.
Conclusão
A janela entre detalhes públicos e correção disponível é o único período que o atacante precisa. Do PHP ao kernel, os dois casos maiores do mês nasceram do mesmo vazio, e a regra nova que tratava achado de IA como coisa pública abriu esse vazio por escrito. O inventário de superfície é o que fecha a diferença enquanto o patch não chega.