Vulnerpocalypse Containment — kit de ferramentas multiplataforma de evidências de atualizações de segurança

Catálogo mantido, não um patch universal de zero-day. Este projeto acompanha correções de segurança divulgadas publicamente, ligadas à investigação da Anthropic/Claude e a avisos de fornecedores de outubro de 2026 obtidos separadamente. Contém um patch original atribuído ao upstream do Linux para CVE-2026-98432, referências a atualizações de fornecedores para produtos proprietários ou assinados, um verificador multiplataforma somente leitura de versão mínima, e um controlo opcional de runtime temporário apenas para Linux com rollback explícito.

Nenhuma modificação arbitrária de kernel ou binário, nenhum download automático de patches, nenhum teste de exploração e nenhuma alegação de que todos os SO ou todas as descobertas da Anthropic estão cobertas. A contenção opcional de runtime MPTCP em Linux, explicitamente aprovada, é a única alteração executável introduzida por este kit de ferramentas. Se não existir uma correção de fornecedor verificada ou uma versão suportada, o resultado correto é desconhecido / revisão manual, nunca "corrigido".

Comece aqui — escolha o seu sistema operativo

Para as instruções mais simples, abra Easy install. Escolha o seu dispositivo e siga os passos numerados. Não precisa de instalar Python num telemóvel. Nos computadores, o Python 3.11–3.15 só é necessário para executar as ferramentas opcionais de verificação offline deste repositório.

Dispositivo	Passo seguro mais rápido	Contenção opcional
Windows	Definições → Windows Update → Procurar atualizações → Reiniciar	Revisão da exposição HTTP.sys HTTP/3 para administradores; não é um patch binário
Mac	Definições do Sistema → Geral → Atualização de Software	Restrição de JavaScript no Safari; não é uma correção completa do WebKit
iPhone / iPad	Definições → Geral → Atualização de Software	Evite navegação não fidedigna até à atualização da Apple
Android / Pixel	Definições → Sistema → Atualizações de software; verifique também as atualizações do sistema do Google Play	Evite anfitriões USB não fidedignos; não é uma correção do ecrã de bloqueio do dispositivo
Linux	Use as atualizações de segurança assinadas da sua distro e depois reinicie	Interruptor opcional, supervisionado e reversível da funcionalidade MPTCP (apenas Linux)
Chrome	Chrome → Ajuda → Acerca do Chrome → Relançar	Limite a otimização do V8 ou deixe de usar o Chrome desatualizado
Outro / não suportado	Use a atualização de segurança publicada pelo fornecedor original do dispositivo	Não existe um patch binário universal para todos os SO

Guia a partir de um portátil/desktop (sem necessidade de direitos de root/admin):

python scripts/quickstart.py guide --os linux
python scripts/quickstart.py guide --os windows
python scripts/quickstart.py guide --os macos
python scripts/quickstart.py guide --os android

Cada guia fornece: antes de alterar qualquer coisa → passos simples → como verificar o controle temporário → como substituí-lo pela correção do fornecedor. Se um perfil não puder ser justificado, o comando retorna nenhum perfil verificado.

Um controle temporário executável: desativação em tempo de execução do MPTCP no Linux. Ele modifica apenas o namespace atual após um comando de administrador separado e explícito, cria estado de reversão limitado e NÃO aplica patch no kernel nem persiste após a reinicialização. Consulte Contenção de emergência. Todas as outras ações temporárias são orientações manuais, não binários não assinados.

Como saber que uma correção real foi aplicada e está funcionando

Não trate um comando de instalação bem-sucedido como prova. Registre estes itens separadamente:

1. O aviso oficial do fornecedor nomeia a CVE e o seu sistema operacional/dispositivo exato.
2. Uma atualização assinada foi instalada; o dispositivo ou serviço afetado foi reiniciado.
3. O produto ou pacote de kernel em execução está em uma versão corrigida confirmada pelo fornecedor.
4. Uma verificação benigna de uso normal é bem-sucedida, como visitar uma página confiável ou testar conexões de rede autorizadas; verifique os logs do serviço.
5. Somente então, revise a remoção da contenção temporária e verifique o funcionamento novamente.

docs/VALIDATION.md contém os comandos exatos e uma planilha de evidências. Para alguns produtos (incluindo a cadeia não mapeada do Android e kernels com backport do fornecedor), o resultado deve permanecer desconhecido / revisão manual sem prova do fornecedor.

Transferência assistida para o fornecedor, para produtos com um piso de versão publicado e comparável (o exemplo usa um aviso MSRC existente):

python scripts/vendor_handoff.py CVE-2026-33096 --os windows --version 10.0.22631.6936 --vendor-advisory-reviewed --active-version-confirmed --smoke-test-passed

Os flags são atestados do operador, não deteção automatizada. O resultado mais forte é READY_FOR_CHANGE_REVIEW, nunca um rollback automático ou uma alegação de resistência a exploits. Versões de SO sem um limite mínimo de versão verificado ficam retidas para confirmação manual do fornecedor.

E quanto a vulnerabilidades sem patch do fornecedor?

Nenhum patch de código é inventado para uma falha não divulgada. A maioria das entradas no painel de divulgação da Anthropic não expõe dados técnicos suficientes para escrever ou validar uma correção legítima. Um "hotfix universal" de kernel/dispositivo não pode ser sintetizado com segurança a partir do nome de uma CVE ou de uma divulgação com hash. Utilize uma contenção reversível e baseada em fontes quando disponível; caso contrário, isole ou deixe de utilizar o serviço afetado.

O catálogo data/containments.json contém dez guias condicionais e limitados de redução de exposição. Estes não estabelecem a remediação de CVEs. Um novo patch automático só é aceite depois de terem sido estabelecidos o código-fonte, a vulnerabilidade reproduzível, as versões suportadas, os testes de regressão, o rollback e a revisão. Consulte as Regras de contribuição.

Distribuição, idioma e descoberta de dispositivos

O inventário de plataforma opcional e apenas de leitura identifica famílias de distribuição (incluindo Debian/Ubuntu, Fedora/RHEL, SUSE, Arch, Alpine, Void, Gentoo, NixOS e Fedora Atomic), arquitetura, contexto limitado de firmware e a presença de toolchains de linguagens de programação comuns. Não executa toolchains nem gestores de pacotes, não instala patches nem certifica firmware.

python3 scripts/platform_inventory.py --json
python3 scripts/catalog.py inventory

Quando uma distribuição é desconhecida ou reporta apenas um pai através de ID_LIKE, a ferramenta recusa-se a recomendar o comando de atualização da distribuição pai. Android, WSL, containers, servidores Linux, hardware embarcado e serviços alojados na nuvem têm diferentes autoridades de atualização de fornecedores. Leia o guia de cobertura de Linux, linguagens e hardware para capacidades exatas, alvos não suportados e transferências seguras para fornecedores.

Âmbito atual — revisto a 30 de outubro de 2026