Pesquisadores descobrem falhas graves em notificações de arquivos no Linux, Windows e Android

Um grupo de pesquisadores revelou vulnerabilidades sérias nos mecanismos de monitorização de sistemas de arquivos em Linux, Windows, Android e macOS. Por meio de interfaces como inotify (no Linux), FileObserver (no Android) e ReadDirectoryChangesW (no Windows), um atacante sem privilégios especiais pode rastrear atividades de outros usuários — tudo o que precisa é de acesso de leitura a diretórios-pai ou explorar comportamentos não documentados do sistema.

No Linux, explorando o inotify é possível reconstruir entradas de teclado ao monitorar o arquivo /dev/input, usando análise de tempo entre eventos. A mesma técnica compromete sessões SSH. Há também um ataque de suplantação visual que monitora acessos ao Polkit para imitar janelas de autenticação nativa. No Android, a API FileObserver consegue contornar as proteções de isolamento FUSE, permitindo que um atacante reconstrua um histórico detalhado de interações privadas — como trocas de mensagens — ao monitorar pastas de mídia de aplicativos como WhatsApp. No Windows, a interface ReadDirectoryChangesW permite monitorar o diretório raiz do disco, ignorando permissões e limites entre contas de usuário, possibilitando rastrear em tempo real sites visitados em navegadores como Firefox. Microsoft classificou esse comportamento como uma função não documentada, não uma vulnerabilidade crítica — postura que rendeu à empresa uma nominação aos Pwnies 2026, prêmio que reconhece as piores respostas de provedores de tecnologia. Mittigações foram aplicadas no kernel do Linux em janeiro de 2026.