{"id":282,"date":"2026-04-28T13:23:40","date_gmt":"2026-04-28T16:23:40","guid":{"rendered":"https:\/\/blog.vpsbrasil.com.br\/?p=282"},"modified":"2026-04-28T13:23:42","modified_gmt":"2026-04-28T16:23:42","slug":"vulnerabilidade-grave-no-packagekit-pode-dar-acesso-root-no-linux-veja-se-seu-servidor-esta-exposto","status":"publish","type":"post","link":"http:\/\/blog.vpsbrasil.com.br\/index.php\/2026\/04\/28\/vulnerabilidade-grave-no-packagekit-pode-dar-acesso-root-no-linux-veja-se-seu-servidor-esta-exposto\/","title":{"rendered":"Vulnerabilidade grave no PackageKit pode dar acesso root no Linux: veja se seu servidor est\u00e1 exposto"},"content":{"rendered":"\n<p>Uma nova falha de seguran\u00e7a de alta severidade chamou aten\u00e7\u00e3o da comunidade Linux nesta semana. Trata-se da <strong>CVE-2026-41651<\/strong>, apelidada de <strong>Pack2TheRoot<\/strong>, uma vulnerabilidade no <strong>PackageKit<\/strong> que pode permitir que um usu\u00e1rio comum obtenha permiss\u00f5es de administrador (<strong>root<\/strong>) no sistema. (<a href=\"https:\/\/nvd.nist.gov\/vuln\/detail\/CVE-2026-41651?utm_source=chatgpt.com\" target=\"_blank\" rel=\"noopener\">NVD<\/a>)<\/p>\n\n\n\n<p>Se voc\u00ea utiliza <strong>Ubuntu, Debian, Fedora, Rocky Linux<\/strong> ou outras distribui\u00e7\u00f5es Linux, vale a pena fazer uma auditoria r\u00e1pida agora.<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h2 class=\"wp-block-heading\">O que \u00e9 o PackageKit?<\/h2>\n\n\n\n<p>O <strong>PackageKit<\/strong> \u00e9 uma camada usada por v\u00e1rias distribui\u00e7\u00f5es Linux para gerenciar instala\u00e7\u00e3o, remo\u00e7\u00e3o e atualiza\u00e7\u00e3o de pacotes. Em desktops Linux ele \u00e9 bastante comum, principalmente em interfaces gr\u00e1ficas.<\/p>\n\n\n\n<p>Em servidores, ele pode ou n\u00e3o estar presente \u2014 depende da imagem instalada.<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h2 class=\"wp-block-heading\">O que essa falha permite?<\/h2>\n\n\n\n<p>Segundo o NVD (National Vulnerability Database), vers\u00f5es entre <strong>1.0.2 e 1.3.4<\/strong> possuem uma falha do tipo <strong>TOCTOU (Time-of-check Time-of-use)<\/strong>.<\/p>\n\n\n\n<p>Na pr\u00e1tica, isso permite que um usu\u00e1rio local sem privil\u00e9gios consiga manipular uma transa\u00e7\u00e3o e instalar pacotes como root. Isso pode levar ao <strong>controle total do sistema<\/strong>. (<a href=\"https:\/\/nvd.nist.gov\/vuln\/detail\/CVE-2026-41651?utm_source=chatgpt.com\" target=\"_blank\" rel=\"noopener\">NVD<\/a>)<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Gravidade<\/h3>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>CVE:<\/strong> CVE-2026-41651<\/li>\n\n\n\n<li><strong>CVSS:<\/strong> 8.8 (Alta Severidade)<\/li>\n\n\n\n<li><strong>Tipo:<\/strong> Escalada local de privil\u00e9gios<\/li>\n<\/ul>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h2 class=\"wp-block-heading\">Preciso me preocupar?<\/h2>\n\n\n\n<h3 class=\"wp-block-heading\">Sim, principalmente se:<\/h3>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Seu servidor possui v\u00e1rios usu\u00e1rios SSH<\/li>\n\n\n\n<li>Voc\u00ea revende hospedagem \/ VPS compartilhada<\/li>\n\n\n\n<li>Usa pain\u00e9is web ou sistemas multiusu\u00e1rio<\/li>\n\n\n\n<li>Algum invasor pode conseguir acesso inicial via outro servi\u00e7o<\/li>\n<\/ul>\n\n\n\n<h3 class=\"wp-block-heading\">Menor risco se:<\/h3>\n\n\n\n<ul class=\"wp-block-list\">\n<li>S\u00f3 voc\u00ea acessa o servidor<\/li>\n\n\n\n<li>Ambiente isolado<\/li>\n\n\n\n<li>Sem usu\u00e1rios comuns criados<\/li>\n<\/ul>\n\n\n\n<p>Mesmo assim, <strong>corrigir \u00e9 recomendado imediatamente<\/strong>.<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h1 class=\"wp-block-heading\">Auditoria r\u00e1pida: veja se seu Ubuntu est\u00e1 vulner\u00e1vel<\/h1>\n\n\n\n<h2 class=\"wp-block-heading\">1. Verifique se o PackageKit est\u00e1 instalado<\/h2>\n\n\n<pre class=\"wp-block-code\"><span><code class=\"hljs\">dpkg -l | grep packagekit\n<\/code><\/span><\/pre>\n\n\n<p>Se n\u00e3o retornar nada, \u00f3timo sinal.<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h2 class=\"wp-block-heading\">2. Veja a vers\u00e3o instalada<\/h2>\n\n\n<pre class=\"wp-block-code\"><span><code class=\"hljs\">apt policy packagekit\n<\/code><\/span><\/pre>\n\n\n<p>Se estiver entre <strong>1.0.2 e 1.3.4<\/strong>, pode estar vulner\u00e1vel (a menos que sua distro tenha aplicado backport de seguran\u00e7a).<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h2 class=\"wp-block-heading\">3. Verifique se o servi\u00e7o est\u00e1 ativo<\/h2>\n\n\n<pre class=\"wp-block-code\"><span><code class=\"hljs\">systemctl status packagekit\n<\/code><\/span><\/pre>\n\n\n<p>Se estiver rodando, o risco aumenta.<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h1 class=\"wp-block-heading\">Como corrigir no Ubuntu<\/h1>\n\n\n\n<h2 class=\"wp-block-heading\">Atualize o sistema<\/h2>\n\n\n<pre class=\"wp-block-code\"><span><code class=\"hljs\">sudo apt update &amp;&amp; sudo apt upgrade -y\n<\/code><\/span><\/pre>\n\n\n<p>O Ubuntu j\u00e1 liberou corre\u00e7\u00f5es para vers\u00f5es suportadas. (<a href=\"https:\/\/www.reddit.com\/r\/Ubuntu\/comments\/1sszdy4\/cve202641651_packagekit_local_priviledge\/?utm_source=chatgpt.com\" target=\"_blank\" rel=\"noopener\">Reddit<\/a>)<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h2 class=\"wp-block-heading\">Se voc\u00ea n\u00e3o usa PackageKit no servidor: remova<\/h2>\n\n\n\n<p>Em muitos servidores ele \u00e9 desnecess\u00e1rio.<\/p>\n\n\n<pre class=\"wp-block-code\"><span><code class=\"hljs\">sudo apt remove packagekit -y\n<\/code><\/span><\/pre>\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h2 class=\"wp-block-heading\">Mitiga\u00e7\u00e3o tempor\u00e1ria<\/h2>\n\n\n\n<p>Se n\u00e3o puder atualizar agora:<\/p>\n\n\n<pre class=\"wp-block-code\"><span><code class=\"hljs\">sudo systemctl stop packagekit\nsudo systemctl disable packagekit\n<\/code><\/span><\/pre>\n\n\n<p>(<a href=\"https:\/\/docs.byteplus.com\/en\/docs\/byteplus-security-bulletins\/CVE-2026-41651?utm_source=chatgpt.com\" target=\"_blank\" rel=\"noopener\">BytePlus<\/a>)<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h1 class=\"wp-block-heading\">Minha recomenda\u00e7\u00e3o para servidores<\/h1>\n\n\n\n<p>Em ambiente servidor, menos pacotes = menos superf\u00edcie de ataque.<\/p>\n\n\n\n<p>Se o PackageKit n\u00e3o \u00e9 necess\u00e1rio no seu VPS ou dedicado, remover costuma ser a melhor estrat\u00e9gia.<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h1 class=\"wp-block-heading\">Conclus\u00e3o<\/h1>\n\n\n\n<p>A falha <strong>Pack2TheRoot<\/strong> refor\u00e7a algo importante: mesmo servi\u00e7os pouco lembrados podem virar porta de entrada cr\u00edtica.<\/p>\n\n\n\n<p>Se voc\u00ea administra servidores Linux, reserve 5 minutos hoje para validar isso.<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h1 class=\"wp-block-heading\">Precisa de ajuda?<\/h1>\n\n\n\n<p>Se quiser, envie no terminal:<\/p>\n\n\n<pre class=\"wp-block-code\"><span><code class=\"hljs\">dpkg -l | grep packagekit\napt policy packagekit\nsystemctl status packagekit --no-pager\n<\/code><\/span><\/pre>\n\n\n<p>Que analisamos se seu servidor est\u00e1 seguro ou vulner\u00e1vel.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Uma nova falha de seguran\u00e7a de alta severidade chamou aten\u00e7\u00e3o da comunidade Linux nesta semana. Trata-se da CVE-2026-41651, apelidada de Pack2TheRoot, uma vulnerabilidade no PackageKit que pode permitir que um usu\u00e1rio comum obtenha permiss\u00f5es de administrador (root) no sistema. (NVD) Se voc\u00ea utiliza Ubuntu, Debian, Fedora, Rocky Linux ou outras distribui\u00e7\u00f5es Linux, vale a pena [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":283,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[3,1,2],"tags":[],"class_list":["post-282","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-dicas","category-tutoriais"],"_links":{"self":[{"href":"http:\/\/blog.vpsbrasil.com.br\/index.php\/wp-json\/wp\/v2\/posts\/282","targetHints":{"allow":["GET"]}}],"collection":[{"href":"http:\/\/blog.vpsbrasil.com.br\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"http:\/\/blog.vpsbrasil.com.br\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"http:\/\/blog.vpsbrasil.com.br\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"http:\/\/blog.vpsbrasil.com.br\/index.php\/wp-json\/wp\/v2\/comments?post=282"}],"version-history":[{"count":1,"href":"http:\/\/blog.vpsbrasil.com.br\/index.php\/wp-json\/wp\/v2\/posts\/282\/revisions"}],"predecessor-version":[{"id":284,"href":"http:\/\/blog.vpsbrasil.com.br\/index.php\/wp-json\/wp\/v2\/posts\/282\/revisions\/284"}],"wp:featuredmedia":[{"embeddable":true,"href":"http:\/\/blog.vpsbrasil.com.br\/index.php\/wp-json\/wp\/v2\/media\/283"}],"wp:attachment":[{"href":"http:\/\/blog.vpsbrasil.com.br\/index.php\/wp-json\/wp\/v2\/media?parent=282"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"http:\/\/blog.vpsbrasil.com.br\/index.php\/wp-json\/wp\/v2\/categories?post=282"},{"taxonomy":"post_tag","embeddable":true,"href":"http:\/\/blog.vpsbrasil.com.br\/index.php\/wp-json\/wp\/v2\/tags?post=282"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}