CVE-2026-98432: init_on_free=1 não mitiga de forma relevante a quebra de KASLR no kernel Linux

O que aconteceu e o que fazer

Na mensagem publicada em 2 de novembro de 2026 na lista oss-sec, um membro da equipe do kernel da CIQ responde a uma sugestão de usar init_on_free=1 como mitigação provisória adicional para a CVE-2026-98432. Segundo ele, a opção não tem efeito significativo contra essa vulnerabilidade. A quebra remota do KASLR descrita usa ponteiros vazados de objetos ativos do slab, obtidos por leitura fora dos limites sobre um objeto já liberado, e o conteúdo anterior desse objeto liberado não é útil ao ataque. A mensagem também menciona que a análise do código e da descrição do exploit foi feita com apoio de um modelo de IA.

Para uma empresa que opera servidores Linux, a lição prática é não tratar parâmetros de endurecimento como substituto de correção. Um fluxo de trabalho pode cruzar o inventário de hosts com versões e configurações do kernel, registrar quais máquinas já receberam o patch oficial e alertar quando uma mitigação provisória estiver sendo aplicada sem validação. Testes controlados de exposição, com reprodução em ambiente isolado e painéis de acompanhamento de patches por criticidade, ajudam a decidir prioridades sem depender de uma única recomendação. Também vale monitorar fontes de segurança do kernel e registrar essas mudanças em um pipeline de coleta automatizada.

Como a consultoria pode ajudar

Diagnóstico da exposição dos seus servidores Linux a esta CVE, com inventário de versões do kernel e configurações de mitigação. Em seguida, projeto de um pipeline de monitoramento de advisories e um painel de status de patches, implantados na sua infraestrutura.

Próximo passo

Se a sua frota Linux precisa avaliar exposição a esta CVE e acompanhar a aplicação de correções, envie uma breve descrição do seu ambiente e do seu caso. Respondemos com uma proposta escopada de diagnóstico e implementação.