Máquinas virtuais do Google Cloud que usam processadores AMD Turin precisam receber um patch no sistema operacional convidado e, em seguida, ser paradas e iniciadas novamente para se proteger contra três falhas de canal lateral do processador, informou o Google nesta semana.
A empresa já aplicou medidas de mitigação para ataques entre máquinas virtuais e entre máquinas virtuais e o sistema hospedeiro. Dentro de uma máquina virtual, porém, as falhas podem permitir que um invasor capaz de executar código no mesmo núcleo do processador deduza informações de outros processos ou do kernel.
As séries afetadas são C4D, N4D, H4D, Z4D e G4, incluindo instâncias de hardware dedicado C4D e Z4D. Turin é o nome de código da quinta geração de processadores AMD EPYC.
As três falhas pertencem à categoria de ataques transitórios ao escalonador (TSA, na sigla em inglês). Duas delas, TSA-SQ (
CVE-2024-36350
) e TSA-L1 (
CVE-2024-36357
), foram divulgadas pela primeira vez em 8 de julho de 2025 e afetavam processadores EPYC de gerações anteriores.
A AMD afirma agora que seus processadores Zen 5, que incluem Turin, são “afetados de forma diferente dos processadores AMD caracterizados anteriormente”. A terceira falha, CVE-2026-0004, é nova. Ela pode permitir que um invasor capaz de executar código em um sistema deduza informações armazenadas no cache de dados L1 do processador.
O Xen Project, responsável pela manutenção do hypervisor Xen, chama a nova falha de TSA-Fill. O projeto também corrigiu uma declaração anterior: “A AMD havia informado que as CPUs Zen 5 não eram vulneráveis a TSA-SQ e TSA-L1”.
O Google classifica o problema como de gravidade média. Segundo o boletim da AMD sobre Zen 5 e o comunicado sobre a CVE-2026-0004, as três falhas permitem ataques locais, têm alta complexidade e exigem apenas privilégios baixos.
Até o momento, nenhuma das três falhas aparece no catálogo Known Exploited Vulnerabilities (KEV), mantido pela Cybersecurity and Infrastructure Security Agency (CISA) e dedicado a vulnerabilidades exploradas. Nenhuma das empresas relata exploração em seus comunicados.
O que os clientes do Google Cloud precisam fazer
O boletim de segurança do Google apresenta as seguintes orientações para cada serviço:
- **Máquinas virtuais:** instale o patch do fornecedor do sistema operacional assim que estiver disponível. A partir desta semana, o Google atualizará as informações do processador apresentadas às máquinas virtuais, permitindo que um kernel convidado corrigido ative as medidas de mitigação. Depois que a atualização chegar à máquina virtual, pare-a e inicie-a novamente. Como alerta a empresa: “Reiniciar o sistema operacional convidado não é suficiente”.
- **Instâncias de hardware dedicado:** quem usa sistema operacional ou hypervisor próprio em uma instância C4D ou Z4D deve aplicar os patches do fornecedor assim que forem disponibilizados.
- **Hypervisors dentro de máquinas virtuais:** a atualização das informações do processador também se aplica a esses ambientes, permitindo que kernels convidados corrigidos ativem as medidas de mitigação. Pare e inicie a máquina virtual novamente depois que a atualização chegar.
- **GKE:** serão disponibilizadas imagens atualizadas dos nós para instâncias de hardware dedicado baseadas em Turin. A atualização dos nós incorpora a atualização das informações do processador. Até o momento, o boletim ainda não informa que essas imagens estão disponíveis.
- **Cloud Run:** nenhuma ação é necessária.
Clientes que usam processadores Rome, Milan e Genoa receberam a mesma orientação para parar e iniciar novamente as máquinas virtuais em um boletim anterior, publicado quando as falhas foram divulgadas, em 8 de julho de 2025.
O Google não recomenda nenhuma ação provisória para máquinas virtuais cujo fornecedor do sistema operacional ainda não tenha lançado um patch. A empresa também não explica como identificar quando a atualização das informações do processador chega a uma máquina virtual.
Uma alteração que mitiga ataques TSA em Zen 5, incluindo a nova variante, já está na árvore de código-fonte do kernel Linux. Até o momento, o Debian corrigiu a CVE-2026-0004 no kernel Linux apenas no ramo instável. O rastreador de segurança da distribuição ainda lista como vulneráveis os kernels das versões bookworm, trixie e forky.
Para servidores Turin em hardware próprio, a AMD afirma que são necessárias atualizações do firmware da plataforma e do sistema operacional para mitigar completamente as falhas. Segundo a orientação técnica da empresa, as medidas de mitigação podem afetar o desempenho, e administradores devem avaliar os riscos para suas próprias cargas de trabalho.
O Xen Project publicou patches para o hypervisor em seu comunicado de segurança. O projeto informa que o microcódigo para todas as falhas TSA em Zen 5 está disponível no linux-firmware desde 23 de setembro.
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...