- Vulnerabilidade Pack2TheRoot, CVE-2026-41651, de alta severidade (CVSS 3.1 = 8,8), afeta o PackageKit e permite que qualquer usuário local instale ou remova pacotes como root sem autenticação.
- Versões impactadas do PackageKit vão de 1.0.2 a 1.3.4; a falha pode existir desde versões antigas, segundo pesquisadores.
- Exploração confirmada em distribuições Ubuntu, Debian, Fedora e RockyLinux; a divulgação pública ocorreu nesta semana após coordenação com os mantenedores.
- A falha ocorre no manejo de permissões durante a instalação; o atacante consegue burlar a verificação e fazer com que o sistema use permissões manipuladas.
- Correção disponível no PackageKit 1.3.5; atualizações já distribuídas por Debian, Ubuntu e Fedora a partir de 22 de abril de 2026.
Vulnerabilidade no PackageKit permite que qualquer usuário local acesse privilégios de administrador. O problema, mais conhecido como Pack2TheRoot, foi confirmado como CVE-2026-41651, com CVSS 3.1 igual a 8.8. A divulgação pública ocorreu nesta semana, após coordenação com os mantenedores das distros afetadas.
A falha ocorre no fluxo de permissões durante a instalação de pacotes. Embora o usuário seja autorizado inicialmente, o sistema lê as permissões de forma incorreta entre dois pontos do processo. Com isso, um atacante pode substituir valores e executar pacotes com root sem autenticação.
O Pack2TheRoot foi demonstrado por um Red Team da Deutsche Telekom em um teste sob Ubuntu 24.04 LTS. Detalhes técnicos do exploit foram mantidos em sigilo por ora. A descoberta envolve a manipulação de três pontos do código fonte do PackageKit.
O que foi afetado
Todas as versões do PackageKit entre 1.0.2 e 1.3.4 estão vulneráveis. A hipótese é de que o problema exista desde versões anteriores, ampliando a janela de exposição. A exploração foi verificada em distribuições com configurações padrão, incluindo Ubuntu Desktop e Server, Debian, RockyLinux e Fedora.
Como verificar e corrigir
Para checar a versão instalada, use dpkg -l | grep -i packagekit em Debian/Ubuntu ou rpm -qa | grep -i packagekit em Fedora/RHEL. A correção está disponível na versão 1.3.5, com distribuições já atualizadas desde 22 de abril de 2026. Sistemas que utilizam o PackageKit com Cockpit ou em ambientes RHEL devem considerar-se vulneráveis até a atualização.
Impacto e próximos passos
A exploração pode ocorrer rapidamente e não requer equipamento especial nem acesso físico privilegiado; exige apenas conta local. Após a exploração, o daemon PackageKit pode travar e reiniciar, gerando registro de falha nos logs. Usuários devem manter os sistemas atualizados e monitorar logs de segurança.
Entre na conversa da comunidade