Número de CVEs no kernel Linux se aproxima de 2 mil por release

O uso de IA na análise de código elevou o volume de vulnerabilidades reportadas no kernel Linux, que deve superar 2 mil registros no Linux 7.3.

31/08 às 13:38

Pontos principais

A média de CVEs por release saltou de cerca de 500 (versões 6.9 a 6.19) para mais de 1.500 no Linux 7.2.
O aumento é impulsionado pelo uso de modelos de IA e LLMs na varredura das 40 milhões de linhas de código do kernel.
A maioria das falhas identificadas refere-se a problemas de baixa prioridade em drivers antigos ou código obsoleto.
A autoridade de numeração de CVEs do kernel alterou sua política, passando a catalogar correções de bugs menores como vulnerabilidades.
Especialistas recomendam que administradores priorizem o score CVSS e a relevância do subsistema em vez do volume total de CVEs.
Os dados foram divulgados por Greg Kroah-Hartman como prévia para o evento Kernel Recipes 2026, em Paris.

O ecossistema do kernel Linux tem registrado um crescimento expressivo no número de CVEs (Common Vulnerabilities and Exposures) reportadas a cada nova versão. Segundo dados apresentados pelo mantenedor sênior Greg Kroah-Hartman, o volume de correções saltou de uma média histórica de 500 por release para patamares superiores a 1.500 na versão 7.2, com a expectativa de ultrapassar 2.000 no lançamento do Linux 7.3. Esse aumento é atribuído tanto à maior eficiência de ferramentas de IA e LLMs na detecção de falhas em bases de código extensas quanto a uma mudança na política interna de catalogação, que passou a incluir correções de bugs de menor impacto que anteriormente não recebiam identificadores de segurança.

Apesar do volume elevado, especialistas ressaltam que o aumento não reflete necessariamente uma queda na qualidade do código ou um risco maior para a infraestrutura. Grande parte das vulnerabilidades detectadas por automação reside em drivers obscuros ou componentes raramente utilizados. A recomendação para administradores de sistemas é realizar a triagem baseada na severidade (CVSS) e na configuração específica de cada ambiente, em vez de considerar o número bruto de CVEs como um indicador direto de insegurança.

Cobertura da mídia