Ferramentas · · .md (Markdown)
Falha 9,8 no Linux achada com o Claude segue sem correção no Ubuntu LTS
Bug no TCP do kernel permite rodar comandos como root pela rede, sem senha. A correção já está no kernel oficial, mas Ubuntu e Red Hat ainda não soltaram pacote.
A Anthropic contou em 30/10 que o Claude escreveu um exploit pra CVE-2026-98432, uma falha do tipo use-after-free (o código lê memória que já foi liberada) no trecho do kernel Linux que abre conexões IPv4 TCP. O bug existe desde o Linux 4.4. O time de CVE do kernel dá nota 9,8: dá pra atacar pela rede, sem senha e sem clique. Segundo a Anthropic, o exploit roda comandos como root em servidores com um listener Multipath TCP (MPTCP).
A correção já está no kernel oficial e nos ramos estáveis, mas não chegou a todo mundo. Nesta segunda (02/11), a página do Ubuntu ainda marca 22.04, 24.04 e 26.04 LTS como vulneráveis, com correção "em andamento". A Red Hat classifica como crítica e diz que está acelerando o pacote. A AlmaLinux não esperou: pôs kernels corrigidos no repositório de testes em 30/10 e avisa que, pelo menos ali, ainda não havia kernel corrigido do RHEL.
Por que importaQuase todo agente rodando em VPS (Hermes, n8n, uma API própria) está num Ubuntu LTS aceitando conexão TCP da internet. A falha está no TCP comum, então desligar o MPTCP não resolve: o caminho é mitigar agora e atualizar assim que o pacote sair.
A AlmaLinux publicou uma regra de nftables que descarta pacotes TCP com IP options (tráfego normal quase nunca usa) e bloqueia o gatilho sem derrubar conexões comuns. Confira os avisos do post antes de aplicar, e rode sysctl net.mptcp.enabled pra ver se o MPTCP está desligado (= 0).
Fontes: Ubuntu, AlmaLinux, Red Hat e Anthropic · ubuntu.com · almalinux.org · access.redhat.com · anthropic.com
Mais notícias do dia
Agentes
DeepSeek abre o código de um agente que fica ligado no GitHub e responde pedido com PR
O dsh-superagent, em licença MIT, recebe pedidos de quem está numa lista de permitidos e começa num modo que só registra o que faria. A própria DeepSeek diz que é protótipo.
Brasil
Fantástico acha 83 petições com ordem escondida pra IA, até no STJ e no STF
Advogados colocam instruções em letra branca, fonte minúscula ou metadados pra tentar guiar a IA usada por juízes. Já houve multa, caso na OAB e comunicação ao MPF.
Ferramentas
Postgres 19 atrasa porque a IA acha bugs mais rápido do que dá pra corrigir
Correções levadas à versão em preparação subiram de 724 pra 1.169 em um ano, e três recursos grandes saíram no fim do beta, conta Robert Haas, committer do projeto.
Pesquisa
SemiAnalysis testa agentes em 206 tarefas de especialista, e o melhor acerta 12%
No GDPx, o Claude Opus 5.5 lidera com 12% a US$ 51 por tarefa. O Gemini 4 Carbon faz 10,9% por US$ 16, e o DeepSeek 4.1 Flash chega a 5,4% por menos de US$ 1.
Receba o resumo da semana por e-mail
Toda sexta, as maiores notícias da semana.
grátis · sem spam · cancele com um clique