CVE-2026-93834 — Site de acompanhamento de escape do guest no QEMU 9pfs

Fonte para o rastreador de status de patch da CVE-2026-93834: um site de página única que registra quais branches estáveis do QEMU e quais distribuições já publicaram uma correção para o use-after-free de escape guest-to-host no QEMU 9pfs.

Onde ficam os fatos

Tudo sobre o bug — versões afetadas e corrigidas, o commit de correção upstream e seus backports estáveis, crédito de descoberta e divulgação, e o status atual de patch por distribuição — pertence à página do rastreador, não a este README:

• Renderizado: https://kimmo.cloud/CVE-2026-93834/
• Fonte: site/content/_index.md

Edite esse arquivo; todo o resto neste repositório é infraestrutura de build.

Nada disso é repetido aqui de propósito. A página do rastreador é revisada conforme as distribuições publicam correções — para os rastreadores atualizados ativamente, duas vezes ao dia pelo agente de atualização automática — então qualquer cópia mantida neste README apodreceria silenciosamente. Resista à tentação de readicionar um resumo.

O plano de implantação e o estado atual da configuração estão em WEBSITE.md.

Desenvolvimento local

Requer Hugo ≥ 0.146.0 (a edição padrão é suficiente: sem Sass ou processamento de imagens neste site) e Go (para que os Hugo Modules busquem o tema PaperMod).

Com Nix (recomendado)

nix develop          # dev shell: hugo, go, resvg + fonts, and every lookup tool
cd site
hugo server          # local preview at http://localhost:1313/CVE-2026-93834/

Se você usa direnv, execute direnv allow uma vez e o dev shell será ativado automaticamente sempre que você fizer cd no repositório.

Sem Nix

Instale o Hugo ≥ 0.146.0 e o Go ≥ 1.24 por conta própria (CLAUDE.md § "Build environment" contém a receita com go install), depois:

cd site
hugo server          # http://localhost:1313/CVE-2026-93834/

Compilar e publicar

make build       # local build into site/public/
make dist        # build, then rsync to haig:/CVE-2026-93834/
make banner      # re-rasterise the social banner SVG → PNG (needs resvg + the banner fonts)
make check       # run the helper-script tests

make dist executa make build primeiro. make banner só é necessário após editar site/assets/cve-2026-93834-tracker.svg; o PNG renderizado é commitado.

Datando uma correção

O Fixed since de uma linha é a data em que a correção realmente foi lançada, derivada da fonte que a lançou — nunca o dia em que foi notada. Para os canais NixOS e nixpkgs, essa derivação é um script:

./scripts/nixos-first-shipped nixos-unstable <nixpkgs-commit>

Ele lista as versões publicadas do canal, encontra a mais antiga construída a partir de uma revisão que contém o commit e imprime essa versão e a sua data de publicação. As datas do QEMU upstream vêm das tags de versão estável, as datas do Debian vêm do changelog ou do snapshot.debian.org, as datas do pkgsrc vêm do histórico git do pacote, as datas do Proxmox vêm do changelog do pve-qemu-kvm, e as datas do Rocky vêm da listagem de uploads do mirror — o CLAUDE.md tem as receitas.

Os outros três auxiliares leem o estado atual a partir do rastreador de segurança e dos clones locais:

./scripts/debian-versions

./scripts/nixpkgs-versions

./scripts/pkgsrc-versions

Cada um imprime uma linha por linha rastreada — a versão, e se um changelog ou patch nomeia o CVE rastreado (listado em scripts/tracked-ids).

Estrutura do repositório

.
├── flake.nix              # Nix dev environment (build, banner, publish, lookup tools)
├── .envrc                 # direnv hook → `use flake`
├── .gitignore
├── Makefile               # `make build`, `make dist`, `make banner`, `make check`
├── LICENSE                # CC BY 4.0
├── README.md              # this file
├── CLAUDE.md              # project instructions for Claude Code
├── WEBSITE.md             # publication plan / decisions log
├── scripts/               # auto-update driver + prompt, and the lookup helpers
├── systemd/               # user-level service unit, run by the sweep
├── tests/                 # tests for the lookup helpers
└── site/                  # Hugo project
    ├── hugo.toml
    ├── content/
    │   └── _index.md      # the tracker (single page)
    ├── assets/css/extended/custom.css      # PaperMod CSS overrides
    ├── assets/cve-2026-93834-tracker.svg   # social-banner source (→ make banner)
    ├── static/cve-2026-93834-tracker.png   # rendered OpenGraph banner (committed)
    ├── layouts/partials/  # PaperMod overrides (post_meta, extend_footer)
    ├── layouts/shortcodes/details.html     # collapsible verification log
    ├── go.mod, go.sum     # Hugo Modules — pulls PaperMod theme
    └── …                  # standard Hugo skeleton

Licença

CC BY 4.0 — compartilhe e adapte com atribuição.