Vulnerabilidade no Linux permitia controle total a qualquer usuário

Uma vulnerabilidade de alta severidade no PackageKit permite que qualquer usuário comum de um sistema Linux instale ou remova pacotes como se fosse administrador.

Como funciona a vulnerabilidade

A falha está em como o PackageKit lida com as permissões durante uma instalação. O fluxo normal exige que o usuário seja autorizado antes de qualquer pacote ser instalado. A falha permite burlar essa etapa.

Impacto da vulnerabilidade

Isso é possível porque o sistema verifica as permissões em um momento, mas só lê essas permissões de verdade em outro. Entre os dois pontos, um atacante consegue trocar os valores.

Como se proteger

A correção está disponível no PackageKit 1.3.5, com atualizações já distribuídas por Debian, Ubuntu e Fedora a partir de 22 de abril de 2026.

Detalhes da vulnerabilidade

A vulnerabilidade é rastreada como CVE-2026-41651, com pontuação CVSS 3.1 de 8.8. A divulgação pública ocorreu nesta semana, após coordenação com os mantenedores das distribuições afetadas.