Intel e AMD publicaram mais de 50 novos alertas de segurança que descrevem mais de 200 vulnerabilidades em seus produtos.
As correções estão disponíveis para a maioria das falhas, mas não para todas. Algumas mitigações da AMD foram lançadas meses ou até anos atrás, outras ainda estão em desenvolvimento, e a Intel descontinuou um dos produtos afetados.
Intel publica 24 alertas que cobrem mais de 100 falhas
Os 24 novos alertas da Intel descrevem pouco mais de 100 vulnerabilidades. Três delas são classificadas como 'críticas' e 20 como 'de alta gravidade'.
O maior alerta cobre 30 falhas de segurança no software de referência TDX Migration Trust Domain (MigTD), parte da tecnologia TDX (sigla de Trust Domain Extensions, extensões de domínio de confiança). As falhas incluem três problemas críticos de autenticação que podem ser explorados para elevação de privilégios. Uma delas, CVE-2026-61887 (sigla de Common Vulnerabilities and Exposures, sistema de identificação pública de vulnerabilidades), também poderia permitir a execução remota de código.
Vulnerabilidades de elevação de privilégios de alta gravidade foram corrigidas no Slim Bootloader, no UEFI (sigla de Unified Extensible Firmware Interface, interface de firmware extensível unificada) das placas de servidor D50DNP e M50FCP, e no software VTune Profiler.
A Intel também corrigiu falhas de alta gravidade que podem ser exploradas em ataques de negação de serviço (DoS, sigla de denial-of-service), nos produtos PROSet/Wireless WiFi e Bluetooth, e no software Performance Counter Monitor (PCM).
Não haverá correções para três erros de elevação de privilégios de média gravidade no BigDL, que foi descontinuado. A Intel recomenda que os usuários 'desinstalem o produto ou deixem de usá-lo o mais rápido possível'.
Problemas de média gravidade que podem levar a elevação de privilégios ou negação de serviço foram resolvidos em drivers gráficos, drivers de NPU (unidade de processamento neural), drivers QAT para Windows, Neural Compressor, Hyperscan, oneDNN, na ferramenta de linha de comando oneAPI CLI Tool, no TDX Workload Attestation e na API Metrics Discovery.
Os demais alertas cobrem falhas de média gravidade em Application Optimization, Media Transcode Accelerator, Multi-Buffer Crypto for IPSec, ISA-L, Computing Improvement Program e Platform Monitoring Technology. Um erro de baixa gravidade foi corrigido no AI Playground.
AMD divulga 29 boletins e dois informes de segurança
A AMD publicou nesta semana 29 boletins de segurança e dois informes de segurança. Eles abrangem cerca de 100 CVEs distintos, incluindo alguns que não são específicos da AMD.
Nenhuma das falhas recebeu pontuação 'crítica' no CVSS (sigla de Common Vulnerability Scoring System, sistema de pontuação de vulnerabilidades). Em muitos casos, as mitigações já estão disponíveis há algum tempo, enquanto outras atualizações são esperadas apenas nas próximas semanas ou meses, algumas somente em 2027.
Os produtos gráficos concentram a maior parte das vulnerabilidades. Um boletim descreve 44 problemas que afetam produtos Radeon e Instinct, sendo dez deles com pontuação de alta gravidade.
No lado do firmware, a AMD informou os clientes sobre uma vulnerabilidade de alta gravidade no UEFI que poderia permitir que um atacante com privilégios executasse código arbitrário no SMM (sigla de System Management Mode, modo de gerenciamento do sistema). Outra falha de alta gravidade pode ser explorada para contornar as proteções do Secure Debug Unlock.
Outros dois problemas de alta gravidade são descritos em um único boletim. Um deles é uma falha na IOMMU (sigla de Input-Output Memory Management Unit, unidade de gerenciamento de memória de entrada e saída) que um atacante com controle de uma VM convidada (sigla de máquina virtual) poderia explorar para causar uma condição de negação de serviço. O outro é um erro no TianoCore EDK II que pode levar à corrupção de memória do SMM.
Problemas de alta gravidade também foram tratados no AMD Management Console, onde a ausência de autenticação poderia expor credenciais armazenadas, e no software Vivado Lab Solutions, afetado por um erro de elevação de privilégios.
Mais de duas dezenas de vulnerabilidades de média gravidade afetam o SEV (sigla de Secure Encrypted Virtualization, virtualização criptografada segura).
Várias publicações da AMD estão ligadas a pesquisas acadêmicas e da indústria. Um boletim traz mitigações adicionais para os TSA (sigla de Transient Scheduler Attacks, ataques ao escalonador transitório) nos processadores Zen 5, que, segundo a empresa, são afetados de forma diferente dos CPUs mais antigos. Pesquisadores da ETH Zurich e do Google informaram que mitigações de TSA ausentes no EDK II poderiam permitir que um atacante com privilégios inferisse o conteúdo da memória do SMM.
Outros boletins descrevem falhas de média e baixa gravidade no AMD Secure Processor, na IOMMU, no NBIO, no firmware de gerenciamento de energia, no RAIDXpert2, em um driver embarcado para memória flash SPI, no Bootgen e nos SoCs adaptativos Versal, além de um problema de execução transitória.
Um boletim separado trata de uma vulnerabilidade de elevação de privilégios no InstallShield que afeta o AMD Management Console.
