Vulnerabilidade no PackageKit permite que qualquer usuário local acesse privilégios de administrador. O problema, mais conhecido como Pack2TheRoot, foi confirmado como CVE-2026-41651, com CVSS 3.1 igual a 8.8. A divulgação pública ocorreu nesta semana, após coordenação com os mantenedores das distros afetadas.
A falha ocorre no fluxo de permissões durante a instalação de pacotes. Embora o usuário seja autorizado inicialmente, o sistema lê as permissões de forma incorreta entre dois pontos do processo. Com isso, um atacante pode substituir valores e executar pacotes com root sem autenticação.
O Pack2TheRoot foi demonstrado por um Red Team da Deutsche Telekom em um teste sob Ubuntu 24.04 LTS. Detalhes técnicos do exploit foram mantidos em sigilo por ora. A descoberta envolve a manipulação de três pontos do código fonte do PackageKit.
O que foi afetado
Todas as versões do PackageKit entre 1.0.2 e 1.3.4 estão vulneráveis. A hipótese é de que o problema exista desde versões anteriores, ampliando a janela de exposição. A exploração foi verificada em distribuições com configurações padrão, incluindo Ubuntu Desktop e Server, Debian, RockyLinux e Fedora.
Como verificar e corrigir
Para checar a versão instalada, use dpkg -l | grep -i packagekit em Debian/Ubuntu ou rpm -qa | grep -i packagekit em Fedora/RHEL. A correção está disponível na versão 1.3.5, com distribuições já atualizadas desde 22 de abril de 2026. Sistemas que utilizam o PackageKit com Cockpit ou em ambientes RHEL devem considerar-se vulneráveis até a atualização.
Impacto e próximos passos
A exploração pode ocorrer rapidamente e não requer equipamento especial nem acesso físico privilegiado; exige apenas conta local. Após a exploração, o daemon PackageKit pode travar e reiniciar, gerando registro de falha nos logs. Usuários devem manter os sistemas atualizados e monitorar logs de segurança.
Entre na conversa da comunidade