Uma vulnerabilidade séria foi descoberta no código de virtualização KVM (Kernel-based Virtual Machine) do Linux para processadores ARM64. O problema, rastreado como CVE-2026-89775 [VERIFICAR], permite que uma máquina virtual convidada leia e escreva diretamente na memória do kernel do sistema hospedeiro, criando uma brecha potencial para escape de virtualização e execução de código não autorizado.
O cenário de risco é específico: a falha se manifesta em ambientes com virtualização aninhada (nested virtualization) habilitada, onde máquinas virtuais podem executar outras máquinas virtuais. Quando essa configuração está ativa, um pedaço de memória do host é liberado e deixado acessível ao convidado, transformando o isolamento de segurança — um dos pilares fundamentais da virtualização — em uma linha frágil.
O Que Acontece Tecnicamente
O Linux KVM funciona como uma extensão do kernel que transforma o processador em um hipervisor. Ele cria e gerencia ambientes isolados onde sistemas operacionais convidados podem rodar como se estivessem em hardware dedicado, sem conhecimento do que existe fora dessa “caixa”. A memória é separada, os registradores são virtualizados, e o acesso ao hardware real passa por gates de segurança rigorosos.
por volta de R$ 272,09 · conferido em 24/09/2026Mouse Gamer Com Fio Logitech G502 Hero, RGB Lightsync, 11 Botões Programáveis, Sensor Hero 25k, Ajustes De Peso, PretoNo caso do ARM64 com virtualização aninhada, esse isolamento quebra. Quando o kernel libera um segmento de memória que estava sendo usado anteriormente, ele deveria “apagá-lo” antes de disponibilizá-lo para outro processo. Mas aqui, a memória fica exposta — ainda contendo dados do host — e a máquina virtual convidada consegue alcançá-la. Um atacante controlando o SO convidado pode ler senhas, chaves criptográficas, tokens de sessão e outros segredos ali armazenados.
Pior: não é apenas leitura. A escrita também é possível, o que abre caminho para corrupção de estruturas de kernel, injeção de código e, em último caso, takeover completo da máquina hospedeira.
Quem Está Vulnerável
Administradores de infraestrutura que usam:
- Hosts ARM64 rodando Linux com KVM (Ampere, Graviton AWS, processadores ARM em servidores)
- Virtualização aninhada habilitada — permitindo que VMs hospedem outras VMs
- Kernels Linux não patchados anteriores à versão que corrige o CVE-2026-89775 [VERIFICAR]
Ambientes de cloud pública com ARM64 (como instâncias Graviton da AWS ou máquinas Ampere no Google Cloud) estão potencialmente afetados se o provider não atualizar rapidamente. Datacenters privados com infraestrutura ARM para virtualização também entram na zona de risco.
Por Que Virtualização Aninhada Importa
Virtualização aninhada é um recurso legítimo em cenários como:
- Testes de hypervisores
- Sandboxes em múltiplas camadas
- Ambientes educacionais
- Algumas arquiteturas de cloud pública
Mas ativar esse recurso sem necessidade é pedir por problemas. O overhead de performance já é considerável; agora, a superfície de ataque também cresce.
O Caminho Para Exploit
Um atacante precisaria:
- Ganhar acesso de root dentro de uma máquina virtual convidada (através de outra vulnerabilidade, falha de configuração, ou credencial comprometida)
- Explorar a falha do KVM para acessar a memória do host
- Mapear estruturas de kernel e encontrar dados sensíveis ou pontos de injeção de código
- Executar payload que escapa da VM e roda com privilégios de host
Não é um ataque trivial, mas é executável. E uma vez fora da VM, o atacante tem controle total da máquina.
Mitigações Imediatas
Enquanto não há patch oficialmente disponível [VERIFICAR], as opções são:
- Desabilitar virtualização aninhada — remover o sinalizador
nested=1em módulos KVM, se seu workload permitir - Isolar máquinas virtuais untrusted — não rodar código de terceiros em VMs que hospedam outras VMs
- Monitorar acesso à memória — ferramentas de observabilidade podem detectar tentativas incomuns de leitura/escrita na memória
- Atualizar kernel assim que patch estiver disponível [VERIFICAR] — acompanhar security advisories da distribuição Linux que você usa
Contexto Maior: ARM64 Como Alvo
O ARM64 está crescendo em data centers. Amazon Graviton, Ampere, e até fabricantes históricos como Qualcomm investem em processadores server-grade ARM. Porém, o escrutínio de segurança é ainda menor que em x86/x64. Falhas como essa mostram que o código KVM para ARM64 precisa de auditoria mais agressiva.
A comunidade Linux conhece o risco. Por isso, espera-se que correções saiam rapidamente. Mas o ciclo de patch, testes e deployment em produção leva semanas, e máquinas virtuais prejudicadas podem estar rodando dados sensíveis nesse interim.
Use a Calculadora de CIDR para Segmentar Sua Rede
Se você gerencia uma infraestrutura virtualizada, segmentação de rede é essencial para conter danos em caso de comprometimento. Para planejar sub-redes e isolar máquinas virtuais por criticidade, use nossa Calculadora de CIDR — ela ajuda a desenhar esquemas de rede que reduzem o raio de explosão de uma invasão.
Fontes:
The Hacker News — New Linux Kernel Flaw Gives ARM64 KVM Guests Read-Write Access to Host Memory
