Como Impedir Travamentos do WebKitGTK no Linux (Mesmo se Não Der pra Atualizar Agora) PT - BR

 

Vulnerabilidade no WebKitGTK? Veja como se proteger agora. Comandos reais, iptables, AppArmor, laboratório com VM e livro em português na Amazon.

Em abril de 2026, o Debian LTS lançou uma correção para nove vulnerabilidades de travamento no WebKitGTK (CVE-2025-43214, CVE-2025-43457, CVE-2025-43511, CVE-2026-20608, CVE-2026-20635, CVE-2026-20636, CVE-2026-20644, CVE-2026-20652, CVE-2026-20676). 

Mas o mesmo problema acontece a cada poucos meses. Aqui está como lidar com ele de forma permanente.

Qual é o problema real?

O WebKitGTK é a engine usado por muitos aplicativos Linux: navegadores (Epiphany, GNOME Web), clientes de e-mail (Evolution) e até alguns visualizadores de PDF. Um site ou e-mail malicioso pode travar o processo inteiro – ou, em alguns casos, rastrear você através de extensões do navegador.

Você não precisa decorar os números dos CVEs. Você só precisa saber se está vulnerável e como se proteger.

Como verificar se você está  vulnerável (comandos reais)

Execute estes comandos. Sem achismo.

Ubuntu 22.04, 24.04, 24.10

bash

dpkg -l | grep webkit2gtk
# Se a versão for menor que 2.50.6-1~deb11u1 (equivalente no Ubuntu), você está vulnerável
# Também verifique:
apt list --upgradable 2>/dev/null | grep webkit2gtk

Rocky Linux / AlmaLinux / RHEL

bash

rpm -qa | grep webkit2gtk
# Compare a versão. No Rocky 9 você precisa de >= 2.50.6-1.el9
dnf check-update | grep webkit2gtk

SUSE Leap 15.5 / 15.6

bash

zypper info webkit2gtk | grep Version
# Deve ser >= 2.50.6-150000.1.1
zypper list-updates | grep webkit2gtk

Verificação universal (qualquer distro)

bash

which webkit2gtk-4.0 2>/dev/null && webkit2gtk-4.0 --version
# Ou veja quais apps estão usando:
lsof | grep libwebkit2gtk | head -20

Script de automação para aplicar a correção (bash – principais distros)

Salve como fix-webkit2gtk.sh e execute como root.

bash

#!/bin/bash
# Correção perene para travamentos do WebKitGTK
set -e

if [ "$EUID" -ne 0 ]; then
    echo "Execute como root: sudo $0"
    exit 1
fi

echo "Detectando a distribuição e aplicando a atualização do WebKitGTK..."

if command -v apt &> /dev/null; then
    apt update
    apt install -y webkit2gtk-driver webkit2gtk-4.0 webkit2gtk-4.1
    echo "✅ Atualizado no Debian/Ubuntu"
elif command -v dnf &> /dev/null; then
    dnf update -y webkit2gtk webkit2gtk6
    echo "✅ Atualizado no RHEL/Rocky/Fedora"
elif command -v zypper &> /dev/null; then
    zypper refresh
    zypper update -y webkit2gtk
    echo "✅ Atualizado no SUSE"
else
    echo "❌ Gerenciador de pacotes não suportado. Atualize manualmente."
    exit 2
fi

echo "Reiniciando aplicativos comuns que usam WebKitGTK (ignorar erros é seguro)"
killall -HUP epiphany gnome-web evolution 2>/dev/null || true
echo "Pronto. Verifique com: dpkg -l | grep webkit2gtk"

Mitigação alternativa se você não puder atualizar agora

Sem root? Sistema legado? Inferno de dependências? Use estas opções.

Opção 1: Bloquear tipos de conteúdo perigosos com iptables

Isso não vai parar todos os ataques, mas bloqueia padrões maliciosos conhecidos antes que atinjam o WebKitGTK.

bash

# Descartar pacotes com explorações específicas do WebKit (versão simplificada)
iptables -A INPUT -m string --string "webkit" --algo bm -j LOG --log-prefix "WEBKIT_BLOCK "
iptables -A INPUT -m string --string "WebKit" --algo bm -j DROP

Opção 2: Executar apps arriscados dentro de um perfil AppArmor dedicado

Crie /etc/apparmor.d/usr.bin.epiphany com:

text

/usr/bin/epiphany {
  # Permite operação normal, mas impede que manipuladores de crash sequestrem o sistema
  deny /sys/kernel/security/** w,
  deny @{PROC}/*/mem w,
  deny /tmp/webkit-* rw,
}

Depois: sudo apparmor_parser -r /etc/apparmor.d/usr.bin.epiphany

Opção 3: Usar um proxy endurecido (Squid + ClamAV)

Squid pode filtrar JavaScript malicioso antes que chegue ao WebKitGTK.

bash

sudo apt install squid clamav-daemon
# No /etc/squid/squid.conf adicione:
url_rewrite_program /usr/bin/clamav-squid

Opção 4: Substituir temporariamente o aplicativo vulnerável

Use w3m ou lynx para visualizar e-mails. Use Firefox (que tem seu próprio motor) em vez do GNOME Web.

Leitura recomendada  (resolve o problema)

Segurança em Sistemas Linux - Amazon 

O melhor para quem quer entender a fundo como proteger o sistema

Este livro é um dos poucos em português que cobre os temas essenciais para resolver o problema do WebKitGTK:

Firewall com iptables – regras práticas para bloquear tráfego malicioso.

• Controle de acesso e permissões – impedir que aplicativos comprometidos façam estragos.

• Hardening do sistema – desabilitar serviços desnecessários.

• Monitoramento e logs – detectar tentativas de exploração.

Por que resolve seu problema: Ensina a construir defesas em camadas. Mesmo que o WebKitGTK tenha uma falha, o resto do sistema continua protegido.