CVE-2026-9054: Kernel panic no 9front causado por pacotes IP malformados

Visão geral

A CVE-2026-9054 é uma condição de negação de serviço no 9front. Segundo o registro, pacotes IP que usam os protocolos tcp, il, rudp ou gre com comprimento menor que o tamanho do cabeçalho podem acionar um kernel panic. O registro foi publicado em 22/05/2026 e seu status de origem aparece como Deferred.

Impacto

O resultado descrito é um kernel panic, que interrompe o sistema operacional e os serviços executados no host.
O vetor CVSS 4.0 do registro indica alto impacto na disponibilidade do sistema vulnerável e de sistemas subsequentes, sem impacto em confidencialidade ou integridade.
Os dados SSVC do registro classificam o impacto técnico como parcial e a automatização como sim.

Produtos e versões afetadas

Produto informado: 9front 9front.
O registro apresenta o intervalo afetado como identificadores de commit, começando em um commit igual ou posterior a uma referência inicial e terminando antes de um commit posterior. Não há números de versão convencionais.
O campo de correções está vazio, mas três páginas de commit marcadas como mitigação são referenciadas, e o limite superior do intervalo afetado corresponde a uma delas.

Status de exploração

O registro indica KEV como falso, ou seja, não há entrada no catálogo KEV da CISA.
Nenhuma exploração confirmada aparece nas fontes consultadas.
A probabilidade EPSS é 0,00507 com percentil de 0,41577, e o campo de exploração SSVC está como nenhum.

Correção e mitigação

Revise as referências de commit listadas no registro e confirme se suas compilações do 9front incluem as alterações descritas.
Priorize sistemas que recebem tráfego de rede de segmentos não confiáveis, pois o vetor CVSS indica ataque pela rede sem privilégios nem interação do usuário.
Quando a aplicação imediata da correção não for possível, considere restringir o tráfego de entrada para os protocolos listados nas bordas da rede, após avaliar o impacto operacional.
Valide a correção confirmando que o kernel em execução corresponde a uma compilação que inclui as alterações referenciadas.

Orientação para detecção

Monitore kernel panics, despejos de memória ou reinicializações inesperadas em hosts 9front e correlacione esses eventos com a atividade de rede nos protocolos listados.
Revise a telemetria de rede em busca de pacotes IP malformados ou truncados chegando a hosts expostos.
Mantenha um inventário dos sistemas 9front para avaliar rapidamente a exposição.

Limitações das informações disponíveis

O registro não informa quais versões do 9front são afetadas em termos convencionais de versão.
O registro não confirma a relação exata entre os commits referenciados e a correção, portanto isso é uma inferência.
O nome do CWE não consta no registro, apenas o identificador.
O registro não descreve o caminho de código vulnerável nem qualquer aviso do fabricante além das páginas de commit.
Os dados de exploração se limitam aos campos KEV, EPSS e SSVC do registro.

Perguntas frequentes

O que a CVE-2026-9054 permite?

Segundo o registro, o envio de pacotes tcp, il, rudp ou gre com comprimento menor que o tamanho do cabeçalho pode acionar um kernel panic no 9front, resultando em negação de serviço.

A CVE-2026-9054 é conhecida como explorada?

O registro não mostra inclusão no catálogo KEV e nenhuma exploração confirmada aparece nas fontes consultadas. O campo de exploração SSVC está como nenhum e a probabilidade EPSS é baixa.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.