Qualys identifica vulnerabilidade crítica no Ubuntu Desktop

A Qualys revelou a descoberta de uma nova vulnerabilidade de escalada local de privilégios no Ubuntu Desktop que pode permitir a um utilizador local sem privilégios obter acesso de superutilizador em sistemas afetados. A falha, identificada como CVE-2026-8933, foi classificada com gravidade elevada.

Segundo a empresa, a vulnerabilidade foi identificada pela sua Threat Research Unit (TRU) e afeta o snap-confine, componente responsável por preparar o ambiente de execução das aplicações Snap no Ubuntu. A exploração da falha resulta da combinação de duas condições que permitem contornar o isolamento do sistema de ficheiros e manipular a criação de ficheiros através de ligações simbólicas, abrindo caminho à escalada de privilégios.

A Qualys explica que, embora as versões mais recentes do Ubuntu tenham substituído o modelo set-uid-root por uma abordagem baseada em set-capabilities para reduzir a superfície de ataque, existe uma janela durante a configuração do ambiente isolado em que o processo continua a executar com capacidades próximas das de root. E é precisamente esse intervalo que pode ser explorado para obter controlo sobre ficheiros do sistema e elevar privilégios.

As versões afetadas incluem o Ubuntu Desktop 26.04, 25.10 e 24.04, que integram por defeito a versão vulnerável do snap-confine.

A Canonical já disponibilizou as respetivas atualizações de segurança através da equipa de segurança do Ubuntu. A Qualys recomenda às organizações que utilizam versões afetadas que atualizem de imediato o snapd, de forma a mitigar o risco de exploração.

“As vulnerabilidades de escalada de privilégios continuam a representar uma das ameaças mais críticas para as organizações. Esta nova descoberta evidencia a importância de aplicar rapidamente as atualizações de segurança e de dispor de capacidades que permitam identificar os riscos antes de estes poderem ser explorados”, afirma Sergio Pedroche, Country Manager da Qualys para Espanha e Portugal.