Mageia 9: seu kernel está seguro? Aprenda a verificar versão, aplicar patches e bloquear ataques mesmo sem reboot

 

Aprenda a verificar, corrigir e mitigar vulnerabilidades críticas do kernel no Mageia 9 (CVE-2026-43491 a CVE-2026-43493). Script de automação, comandos reais, mitigação sem reboot e recomendações de leitura para hardening definitivo.

Você notou que há muitas vulnerabilades críticas no kernel do Linux? Um conjunto de falhas recentes (CVE-2026-43491 a CVE-2026-43493, entre outras) permite negação de serviço, estouros de memória e até leitura de dados fora dos limites em sistemas com o kernel 6.6.139 ou anterior — incluindo o Mageia 9. 

A boa notícia? A correção está disponível no kernel 6.6.141 e este guia perene ensina exatamente como verificar, corrigir e, se não puder reiniciar agora, como se proteger mesmo sem reboot.

Como verificar se você está vulnerável

Abra um terminal no seu Mageia 9 e execute os comandos abaixo:

 1. Veja a versão exata do kernel em uso

bash

uname -r

Se a saída for 6.6.141-desktop-1.mga9 ou superior, seu sistema já está protegido. Se for 6.6.139 ou inferior, você está vulnerável.

2. Liste todos os kernels instalados

bash

rpm -qa | grep ^kernel

Isso mostra os pacotes kernel-desktop, kernel-server e kernel-linus instalados. 

3. Verifique se as CVEs específicas foram corrigidas

bash

rpm -q --changelog kernel-linus | grep -E "CVE-2026-43491|CVE-2026-43492|CVE-2026-43493"

Se o comando retornar linhas com o texto das CVEs, a correção já está presente.

Aplicar a correção com um script de automação

Crie o arquivo ~/update-kernel-mga9.sh com o conteúdo abaixo:

bash

#!/bin/bash
# update-kernel-mga9.sh – Script para atualizar o kernel do Mageia 9
echo "============================================="
echo "  Atualização de segurança do kernel Mageia 9"
echo "  Versão alvo: kernel-linus 6.6.141 ou superior"
echo "============================================="

# Verifica se é root
if [ "$EUID" -ne 0 ]; then
   echo "❌ Execute este script como root (use sudo)."
   exit 1
fi

CURRENT=$(uname -r)
echo "🔍 Kernel atual: $CURRENT"

# Atualiza a lista de repositórios
echo "📦 Atualizando repositórios..."
urpmi.update -a

# Aplica a atualização do kernel-linus
echo "⬆️ Aplicando atualização do kernel..."
urpmi kernel-linus

# Verifica se a atualização foi instalada
NEW=$(rpm -q kernel-linus --queryformat "%{VERSION}-%{RELEASE}\n" | head -1)
if [[ "$NEW" > "6.6.141" ]]; then
    echo "✅ Kernel atualizado para $NEW"
else
    echo "⚠️ Atenção: versão $NEW pode não incluir todas as correções. Verifique manualmente."
fi

echo "============================================="
echo "  ✅ Atualização concluída!                 "
echo "  🔄 Reinicie o sistema para ativar o novo kernel."
echo "============================================="

Como usar:

bash

chmod +x ~/update-kernel-mga9.sh
sudo ./update-kernel-mga9.sh

Após a execução, reinicie o sistema para carregar o kernel corrigido.

📚 Produto de afiliado recomendado

Para se aprofundar em segurança e não depender apenas de atualizações pontuais, recomendo o livro Mastering Linux Security and Hardening, 3rd Edition, de Donald A. Tevault. O livro ensina:

• Hardening do kernel e configuração de firewalls (iptables, nftables, firewalld)

• Controle de acesso obrigatório com SELinux e AppArmor

• Isolamento de processos com Firejail, Docker e Snap

• Criptografia com GPG, LUKS e SSL/TLS

Mastering Linux Security and Hardening (3rd Edition) ( anúncio) ->  https://amzn.to/3SqchBB

Eu ganho uma comissão quando você faz uma compra..

Por que este livro resolve o problema?

Falhas críticas como as corrigidas no kernel 6.6.141 frequentemente surgem por configurações inadequadas ou falta de conhecimento em hardening. O livro fornece a base para você implementar defesas em camadas — reduzindo drasticamente a superfície de ataque mesmo antes das correções oficiais.

Mitigação alternativa (caso você não possa atualizar agora)

Se você não pode reiniciar imediatamente, estas medidas reduzem o risco até a próxima janela de manutenção.

Mitigação 1 – Bloquear tráfego QRTR (CVE-2026-43491)

Esta vulnerabilidade permite negação de serviço pelo subsistema qrtr (Qualcomm IPC Router).  Para mitigá-la:

bash

sudo iptables -A INPUT -p qrtr -j DROP
sudo ip6tables -A INPUT -p qrtr -j DROP

⚠️ Aviso: Essa regra bloqueia comunicação QRTR legítima. Remova a regra após o reboot:

bash

sudo iptables -D INPUT -p qrtr -j DROP
sudo ip6tables -D INPUT -p qrtr -j DROP

Mitigação 2 – Remover módulo PCrypt (CVE-2026-43493)

A falha no pcrypt pode travar o sistema com requisições MAY_BACKLOG.  Remova o módulo se não utilizar criptografia paralela:

bash

sudo modprobe -r pcrypt
echo "blacklist pcrypt" | sudo tee -a /etc/modprobe.d/blacklist-pcrypt.conf

Mitigação 3 – Bloquear acesso a /dev/mem (caso aplicável)

Algumas vulnerabilidades de estouro de memória podem ser mitigadas restringindo acesso a /dev/mem:

bash

sudo chmod 600 /dev/mem

A persistência depende do seu sistema de inicialização. Para sistemas com systemd, crie um arquivo .conf em /etc/tmpfiles.d/ para reaplicar a regra no boot.

Conclusão

Vulnerabilidades no kernel são inevitáveis, mas a forma como você responde a elas faz toda a diferença. Este guia mostrou como:

• Verificar rapidamente se seu Mageia 9 está vulnerável

• Automatizar a correção com um script pronto para uso

• Mitigar o risco mesmo sem conseguir reiniciar

• Aprender a se antecipar com boas práticas de segurança

Lembre-se: não deixe a correção para amanhã. Sistemas desatualizados são os principais alvos de ataques automatizados. Mantenha seu kernel atualizado e seu conhecimento também.