Linux 7.2 chegou a 2 mil CVEs com a ajuda de uma IA chinesa

Linux↳Linux34 conteúdosKali Linux em um Servidor VPS: como, quando e por que usar?DevSecOps · dez 2024Construindo um Windows Service ou Linux Daemon com Worker Service & .NET Core – Parte 2Dev (Back & Front) · jul 2020Criando uma WebApi utilizando .NET, Linux e VSCodeDev (Back & Front) · ago 2019Ver tudo em DevSecOps → 7.2 saiu no dia 26 de agosto e trouxe o maior volume de vulnerabilidades corrigidas da história recente do kernel. O total ficou perto de 2 mil CVEs. Para comparar, a média dos últimos dois anos girava em torno de 500 por lançamento.

Boa parte desse salto saiu de uma varredura automatizada. O modelo GLM 5.3, da chinesa Z.ai, apontou mais de mil falhas além das encontradas na versão 7.1. Ou seja, um único ciclo de análise dobrou o placar anterior. Além disso, a tendência é de alta. Portanto, vale entender o que muda para quem escreve código, mantém drivers ou opera infraestrutura em produção.

Linux 7.2 em números: de 500 para quase 2 mil CVEs

A curva começou a mudar em maio de 2024, com o Linux 6.9. Desde então, cada lançamento registrava cerca de 500 CVEs. A partir do 7.0, liberado em fevereiro, o número disparou. Entre o 6.19 e o 7.1, o volume praticamente triplicou. Na 7.2, enfim, o total chegou perto de 2 mil falhas solucionadas.

Esse crescimento faz sentido quando você olha a escala do projeto. O kernel passa de 40 milhões de linhas de código. Nenhum time humano revisa esse volume por completo a cada ciclo. Um agente de IA↳Agentes de IA42 conteúdosOpera passa a integrar ChatGPT, Claude e outros agentes de IADev (Back & Front) · mar 2026Operações mais inteligentes, decisões mais rápidas: o impacto da IA agêntica na rotina de TIAI · abr 2026Adobe aposta em orquestração de agentes de IA: o que muda para devsDev (Back & Front) · abr 2026Ver tudo em AI →, por sua vez, lê tudo sem cansar.

Por que uma IA acha bugs que ninguém abriria na mão

Bugs de kernel seguem padrões conhecidos. Uso de memória depois da liberação, corrida de dados, falha de checagem de limite e problema de lock aparecem sempre. Esses padrões são repetitivos, portanto rendem bem para um modelo treinado em código.

Além disso, boa parte do kernel é território esquecido. Drivers de peças descontinuadas continuam lá, sem manutenção ativa. Ninguém abre esses arquivos por vontade própria. A IA, no entanto, varre o diretório inteiro no mesmo ritmo. O custo marginal de cada arquivo extra também é baixíssimo. Por isso o volume cresce tão rápido de uma versão para outra.

Volume alto, risco baixo: leia os números com calma

Um detalhe importante costuma ficar fora das manchetes. Segundo o TechSpot, a maioria dos bugs apontados é inofensiva na prática. Eles afetam sobretudo drivers e recursos já considerados obsoletos. Ou seja, o código vulnerável quase nunca está carregado na sua máquina.

CVE registrada, portanto, tem pouca relação direta com servidor exposto. Ainda assim, o número entra em relatórios, painéis e auditorias. E é aí que o problema vira seu.

Seu scanner vai gritar antes do seu servidor sofrer

Ferramentas de varredura contam CVEs por versão de pacote. Elas raramente checam se o módulo vulnerável está ativo. Com quase 2 mil registros por release, o painel fica vermelho. Depois vem a reunião de compliance. Em seguida, chega o pedido de patch urgente para algo que sequer roda no seu ambiente.

A saída passa por triagem contextual. Antes de tudo, cruze a lista de CVEs com os módulos realmente carregados. Um lsmod simples já elimina boa parte do ruído. Depois, verifique se a sua distro faz backport da correção. Muita equipe corre atrás da versão upstream sem necessidade real.

Torvalds chama de novo normal, mas já reclamou do ruído

Linus Torvalds comentou o volume de correções feitas com IA antes mesmo do lançamento da 7.2. Para ele, esse é o novo normal do kernel. A mesma lógica deve valer para a série 7.3. O criador do sistema, aliás, já recorreu à tecnologia para depurar uma falha especialmente difícil. Outro mantenedor usou IA para identificar e remover um driver obsoleto.

Por outro lado, Torvalds já criticou o excesso de relatórios automatizados. Muitos chegavam duplicados ou já corrigidos. Ou seja, o gargalo mudou de lugar. Hoje ele mora na triagem e na revisão humana. Todo relatório gerado por modelo ainda precisa de reprodução, teste e patch validado.

Cinco ajustes na sua rotina de manutenção do Linux

1. Priorize por superfície exposta em vez de contagem bruta de CVE.
2. Automatize o cruzamento entre a lista de CVEs e os módulos carregados no parque.
3. Acompanhe os anúncios da sua distro, já que o backport costuma chegar antes do upstream.
4. Trate relatório gerado por IA como hipótese até existir reprodução confiável.
5. Documente o critério de descarte, pois a auditoria vai perguntar depois.

Linux 7.3 vem aí, então prepare o processo agora

A próxima varredura tende a encontrar ainda mais falhas. Os modelos evoluem rápido e o código continua enorme. Portanto, o número de CVEs por release deve seguir alto por um bom tempo.

Quem trabalha com Linux ganha uma vantagem clara nesse cenário. Bugs antigos estão saindo do escuro em ritmo inédito. O ônus, em contrapartida, recai sobre o processo de triagem. Vale ajustar ferramentas e critérios de prioridade agora. Assim, o próximo pico de CVEs vira rotina em vez de emergência.

Acompanhe nosso perfil no Instagram!