# Relatório Jepsen do ParticleDB, pen drive USB com impressão digital da Lenovo, HackerTube de Karpathy e o bug TCP do Linux CVE-2026-98432: quatro histórias de desenvolvedores em um Daily Diff

Published: 2026-11-02

Quatro histórias de desenvolvedores, cada uma atribuída à sua fonte. A análise de Jepsen do banco de dados ParticleDB encontrou 96 problemas, incluindo perdas de escritas confirmadas no modo de transação padrão da última versão testada, e recomenda interromper a implantação; o teste foi financiado pela Orkes, que afirma que sua próxima versão corrige tudo. Um pen drive USB ThinkPlus FU100 da Lenovo com impressão digital, vendido como criptografado AES-256, continha um cartão SD comum sem criptografia, de acordo com o pesquisador Xusheng Li, conforme relatado pelo Tom's Hardware. Andrej Karpathy construiu o HackerTube, um site com 6.454 vídeos do YouTube recomendados nos comentários do Hacker News, em cerca de duas horas. E o CVE-2026-98432 do kernel Linux, um uso-após-liberação de TCP IPv4 com pontuação de 9.8, exige um kernel corrigido e uma reinicialização. O veredito é REVERT.

Canonical: https://thedailydiff.dev/pt-BR/video/2026-11-01-particledb-lenovo-tcp-hackertube/

## O que este vídeo aborda

- Jepsen, o laboratório de teste de banco de dados dirigido por Kyle Kingsbury, publicou sua análise do ParticleDB em 31 de outubro de 2026. ParticleDB é um banco de dados Rust da Orkes, voltado para agentes de IA; a Orkes financiou o trabalho. Jepsen testou as versões 1.1.4 até 1.1.18.11.rc-22 em um único nó e apresentou 96 problemas, a maioria dos quais precisava de um servidor, um cliente e nenhuma falha. Exemplos no relatório: uma cláusula WHERE 4 = 5 retornou linhas com chave primária 5, WHERE TRUE não encontrou nada, e um UPDATE poderia deixar várias linhas com a mesma chave primária.
- A página inicial do ParticleDB anunciava 'ACID Completo. 159K TPS.' e uma prova TLA+, mas Jepsen afirma que nenhuma especificação TLA+ estava disponível durante a colaboração, e o texto sob 'ACID Completo' mencionava isolamento de snapshot. Na versão 1.1.18.11.rc-22, a última versão testada por Jepsen, o modo de transação padrão 'occ' ainda perdia escritas confirmadas durante a operação normal, e o modo serializável mais rigoroso permitia 'Lost Update' após a interrupção de processos. A Orkes afirma que a versão 1.1.19-rc.13 resolve todos os problemas restantes; Jepsen não a avaliou e recomenda que os usuários interrompam a implantação de ParticleDB e migrem para outros bancos de dados.
- O pesquisador de segurança Xusheng Li descobriu que o pen drive USB com impressão digital Lenovo ThinkPlus FU100, comercializado como criptografado por hardware com AES-256, continha um cartão SD comum cujos dados não eram criptografados; o leitor de impressão digital apenas ativava a conexão USB. Ele relatou isso em 2 de agosto de 2025, e a primeira correção da Lenovo foi uma camada de epóxi sobre o cartão SD. A Lenovo classificou seu aviso como alto, e uma correção posterior para o FU100 e unidades relacionadas exige ligar para uma linha de serviço na China, seguido de uma substituição ou atualização de firmware no local, de acordo com o Tom's Hardware.
- Em um acompanhamento relatado pelo Tom's Hardware, Li usou o Codex da OpenAI com a ferramenta de engenharia reversa de seu empregador contra o software de proteção USB de outros fabricantes; o da Netac levou cerca de sete minutos porque tinha uma chave fixa embutida e gravava a senha em logs de diagnóstico, e o drive de outro fornecedor tinha duas contas ocultas que Li chama de backdoors. Para dados em um pen drive USB, criptografe os arquivos com um software que você controla antes que eles cheguem ao dispositivo.
- Em 31 de outubro de 2026, Andrej Karpathy descreveu o HackerTube, um site estilo YouTube em hackertube.org construído com seu agente de codificação em cerca de duas horas. O agente baixou os comentários do Hacker News, filtrou spam e manteve cerca de 40.000 que recomendavam um vídeo do YouTube, resultando em 6.454 vídeos de 2007 a 2026 em 150 tópicos. O site mostra o quadro na marca de 50% em vez da miniatura carregada. Karpathy lista suas etapas manuais como uma chave de API do Google Cloud, um servidor e um domínio.
- CVE-2026-98432 é um uso-após-liberação no handshake TCP IPv4 do kernel Linux, com pontuação CVSS 9.8, acessível por um par remoto sem login. A correção de Eric Dumazet substituiu duas chamadas kfree simples por kfree\_rcu em um commit datado de 1º de outubro; kernels estáveis com a correção foram lançados em 11 e 15 de outubro, e o bug remonta ao Linux 4.4. A Red Hat elevou sua classificação de Importante para Crítico em 30 de outubro. Ubuntu e Red Hat Enterprise Linux não listavam kernel corrigido na noite de sábado, 31 de outubro. Instale o kernel corrigido da sua distribuição e reinicie, incluindo hosts de contêineres, porque os contêineres compartilham o kernel do host.
- A Anthropic afirma que Claude escreveu um exploit funcional para servidores Linux com um listener TCP multipath, e que em sua prova de conceito leva 48 minutos para vazar um ponteiro do kernel e mais cinco minutos para executar um comando shell; o exploit não foi publicado. A Go Security Team observa que os programas Go habilitam listeners TCP multipath por padrão desde o Go 1.24 e alerta que sistemas sem esse listener podem ser vulneráveis a ataques semelhantes. Red Hat e AlmaLinux publicam uma regra de firewall que descarta pacotes TCP IPv4 com opções IP, o que a Red Hat diz reduzir a exposição e não impedir totalmente a exploração.

## Perguntas e respostas

### O que Jepsen encontrou no banco de dados ParticleDB e o que ele recomenda?

A análise de Jepsen do ParticleDB, publicada em 31 de outubro de 2026 e financiada pela Orkes, apresenta 96 problemas nas versões 1.1.4 até 1.1.18.11.rc-22, incluindo WHERE 4 = 5 retornando linhas. Na última versão testada, o modo de transação padrão ainda perdia escritas confirmadas durante a operação normal. Jepsen recomenda que os usuários interrompam a implantação de ParticleDB e migrem para outros bancos de dados.

### O pen drive USB ThinkPlus FU100 da Lenovo com impressão digital era realmente criptografado com AES-256?

De acordo com o pesquisador Xusheng Li, conforme relatado por Tom's Hardware e HackingPassion, o FU100 era comercializado como criptografado por hardware AES-256, mas continha um cartão SD comum sem nada criptografado. O leitor de impressão digital apenas ativava a conexão USB. A primeira correção da Lenovo foi epóxi sobre o cartão, e uma correção posterior exige ligar para uma linha de serviço na China para substituição ou atualização de firmware no local.

### O que é HackerTube e como Andrej Karpathy o construiu?

HackerTube, em hackertube.org, é um site estilo YouTube com 6.454 vídeos recomendados nos comentários do Hacker News de 2007 a 2026, abrangendo 150 tópicos. A postagem de Karpathy diz que seu agente de codificação baixou os comentários, filtrou spam e manteve cerca de 40.000 que recomendavam um vídeo, e que a construção leva cerca de duas horas. Seus passos manuais foram uma chave de API do Google Cloud, um servidor e um domínio.

### Como corrijo o CVE-2026-98432 do kernel Linux, e quais distribuições têm um kernel corrigido?

Instale o kernel corrigido da sua distribuição e reinicie, incluindo hosts de contêineres e nós Kubernetes, já que os contêineres compartilham o kernel do host. A falha é um uso-após-liberação de TCP IPv4 com pontuação CVSS 9.8, corrigido upstream em kernels estáveis em 11 e 15 de outubro. Conforme o Atlas em 31 de outubro, Debian, SUSE e Amazon Linux tinham correções, enquanto Ubuntu e Red Hat Enterprise Linux não; a Red Hat publica uma mitigação de firewall que reduz a exposição.

### Qual foi o veredito do The Daily Diff sobre essas quatro histórias?

O veredito do The Daily Diff foi REVERT. O conselho de Jepsen sobre o ParticleDB é interromper a implantação e migrar, e o bug do kernel Linux CVE-2026-98432 exige um kernel corrigido e uma reinicialização, com a própria prova de conceito da Anthropic levando 48 minutos para vazar um ponteiro do kernel e mais cinco para executar um comando shell.

## Capítulos

- 0:00 Início: como uma cláusula WHERE diz quatro é igual a cinco?
- 0:44 História um: o que Jepsen encontrou no ParticleDB?
- 2:17 História dois: o que havia dentro do pen drive USB com impressão digital da Lenovo?
- 3:31 História três: o que Karpathy construiu em uma manhã?
- 4:22 História quatro: o que você corrige para CVE-2026-98432?
- 5:43 De volta ao cronômetro: quanto tempo levou o exploit?
- 6:02 Veredito: REVERT

## Transcrição traduzida

Traduzido da narração original em inglês. Áudio e legendas disponíveis são controlados pelo YouTube.

### Início: como uma cláusula WHERE diz quatro é igual a cinco?

0:00 Um banco de dados que anuncia ACID Completo deveria manter o que você escreve. Jepsen testou um e encontrou noventa e seis problemas, incluindo uma cláusula WHERE que dizia quatro igual a cinco e ainda retornava linhas. Neste vídeo, quatro histórias. O que Jepsen encontrou em um banco de dados que alegava ACID Completo? O que havia dentro de um pen drive USB com impressão digital vendido como criptografado? O que Andrej Karpathy construiu em uma manhã? E o que você corrige para um bug de rede do Linux?

0:26 Um desses bugs vem com um cronômetro. Eu vou ler para você no final. É domingo, primeiro de novembro, e este é The Daily Diff. Jepsen é o laboratório de testes de Kyle Kingsbury. Ele executa um banco de dados através de cargas de trabalho e falhas reais e verifica se as garantias no site se mantêm. Pense em um inspetor que realmente abre a geladeira.

### História um: o que Jepsen encontrou no ParticleDB?

0:44 História um. No sábado, Jepsen publicou seu relatório sobre o ParticleDB, um banco de dados Rust da Orkes, voltado para agentes de IA. A Orkes pagou pelo trabalho. A página inicial dizia ACID Completo, cento e cinquenta e nove mil transações por segundo. Jepsen testou o ParticleDB desde sua primeira compilação 1.1 até uma versão candidata a lançamento tardia. O site o chamava de formalmente comprovado, com uma prova TLA+. Jepsen diz que nenhuma especificação TLA+ estava disponível durante o trabalho.

1:10 Abaixo da linha ACID Completo, a mesma página dizia isolamento de snapshot, que não é totalmente isolado. Os bugs não eram sutis. A maioria precisava de um servidor, um cliente e nenhuma falha injetada. Uma cláusula WHERE que dizia quatro igual a cinco retornou linhas. Uma cláusula WHERE que dizia verdadeiro não encontrou nada. Atualizações deixaram duas linhas com a mesma chave primária. A última versão testada por Jepsen, a candidata a lançamento vinte e dois,

1:36 era muito mais segura. Mesmo assim, o modo de transação padrão perdeu escritas confirmadas durante a operação normal. O modo mais rigoroso ainda permitia atualizações perdidas após a interrupção de um processo. A Orkes diz que sua próxima versão corrige tudo isso. Jepsen não a testou. Então, nessa última versão, um banco de dados que prometia ACID Completo poderia perder uma escrita que já havia confirmado. A velocidade, suponho, era excelente.

2:00 O conselho de Jepsen é claro. Interrompa a implantação de ParticleDB e migre para outro banco de dados o mais rápido possível. A Orkes culpa uma refatoração de primavera e diz que seus próprios clientes, em uma versão mais antiga, provavelmente não foram afetados. Os documentos do procedimento armazenado até inventaram um endereço de e-mail para Kyle Kingsbury. História dois. O Lenovo ThinkPlus FU100 é um pen drive USB com impressão digital

### História dois: o que havia dentro do pen drive USB com impressão digital da Lenovo?

2:21 comercializado como criptografado por hardware com AES-256. O pesquisador de segurança Xusheng Li desmontou um e encontrou um cartão SD comum, com nada criptografado. O leitor de impressão digital decidia uma coisa: se o pen drive se conectava ao computador. Os arquivos no cartão nunca dependiam disso. Li relatou a falha à Lenovo em agosto de 2025. A primeira correção foi uma camada de epóxi sobre o cartão SD. Então os arquivos nunca foram criptografados.

2:47 Espere, é só um cartão SD? Sempre foi. A Lenovo classificou seu próprio aviso como alto. A correção posterior, para o FU100 e três drives relacionados, significa ligar para uma linha de serviço na China, e então enviar o drive de volta ou obter uma atualização de firmware no local. A Lenovo aconselha limpar o drive primeiro. Na semana passada, Li direcionou o Codex da OpenAI, mais a ferramenta de engenharia reversa de seu empregador,

3:09 para o software de proteção USB de outros fabricantes. O da Netac levou cerca de sete minutos, porque tinha uma chave fixa embutida e gravava a senha em logs de diagnóstico. Um drive tinha duas contas ocultas que Li chama de backdoors. Se a segurança de um drive é o hardware, verifique você mesmo. Criptografe os arquivos com um software que você controla antes que eles cheguem ao pen drive, e trate a impressão digital como uma conveniência.

### História três: o que Karpathy construiu em uma manhã?

3:31 História três, a leve. Na noite de sexta-feira, Andrej Karpathy abriu o YouTube, viu o que chamou de uma parede de lixo 'enshitified', e na manhã de sábado disse ao seu agente de codificação para construir um substituto a partir do que o Hacker News recomenda. O agente baixou os comentários do Hacker News, filtrou o spam, e manteve cerca de quarenta mil que recomendavam um vídeo do YouTube. Isso resultou em seis mil quatrocentos e cinquenta e quatro vídeos, de dois mil e sete até agora, em cento e cinquenta tópicos.

3:58 O site é hackertube.org. Ele mostra o quadro da metade em vez da miniatura que o carregador escolheu, o que incomoda um pouco. Karpathy diz que toda a construção levou cerca de duas horas. Seus únicos passos manuais foram uma chave de API do Google, um servidor e um domínio. Em 12 de outubro, eu te disse que Karpathy pensa que acesso e tarefas criam uma lacuna em como as pessoas entendem essas ferramentas. Duas horas de trabalho é um bom ponto de dados.

4:21 História quatro, a que exige ação.

### História quatro: o que você corrige para CVE-2026-98432?

4:23 CVE 2026-98432 é um uso-após-liberação no handshake TCP IPv4 do kernel Linux, com pontuação de nove ponto oito de dez. Um par remoto sem login pode alcançá-lo. Eric Dumazet escreveu a correção em primeiro de outubro. A correção alcançou os kernels estáveis em onze e quinze de outubro, e o bug remonta ao Linux quatro ponto quatro. A Red Hat elevou sua classificação de importante para crítico em trinta de outubro. Na noite de sábado, Ubuntu e Red Hat Enterprise Linux ainda não listavam kernel

4:52 corrigido. A Anthropic afirma que Claude escreveu um exploit funcional para servidores com um listener TCP multipath, e programas Go abriram esses por padrão desde o Go 1.24. A equipe Go adverte que sistemas sem esse listener podem ser vulneráveis a ataques semelhantes, e diz que a melhor correção é um kernel corrigido. Se sua distribuição ainda não tem um kernel corrigido, Red Hat e AlmaLinux publicam uma regra de firewall que descarta pacotes TCP IPv4 que contêm opções IP. A Red Hat diz que isso reduz a exposição e não consegue preveni-la totalmente.

5:23 Depois disso, você espera. O que fazer hoje. Instale o kernel corrigido da sua distribuição e reinicie, em hosts de contêineres e nós Kubernetes também, porque os contêineres compartilham o kernel do host. Debian, Suse e Amazon Linux já têm correções. Se você ainda não pode aplicar a correção, comece com hosts que executam listeners TCP multipath. Agora o cronômetro que prometi.

### De volta ao cronômetro: quanto tempo levou o exploit?

5:44 Na própria prova de conceito da Anthropic, leva quarenta e oito minutos para vazar um ponteiro do kernel, depois mais cinco minutos para executar um comando shell. A Anthropic não publicou o exploit. Se você prefere ler isso a me ouvir dizer, o diff chega à sua caixa de entrada todas as manhãs, gratuitamente em thedailydiff.dev, link abaixo.

### Veredito: REVERT

6:02 Então o veredito de hoje é REVERT. Eu reverteria o ParticleDB, porque o conselho de Jepsen é para interromper a implantação, e eu corrigiria esse kernel, porque ele vem com um cronômetro. E esse é o diff de hoje. Eu sou o Niko da Axrisi. Faça o merge com responsabilidade.

## Fontes

- [Jepsen: ParticleDB 1.1.4 (Kyle Kingsbury, October 31, 2026)](https://jepsen.io/analyses/particledb-1.1.4) — Jepsen
- [Lenovo's 'encrypted' fingerprint USB drive is just an unencrypted SD card in a fancy case](https://www.tomshardware.com/tech-industry/cyber-security/lenovo-fingerprint-usb-stick-sold-as-aes-256-encrypted-had-a-plain-sd-card-inside-ai-assisted-follow-up-finds-a-backdoor-and-hardcoded-keys-in-other-secure-usb-products) — Tom's Hardware
- [Lenovo ThinkPlus Fingerprint USB Drive Sold as Encrypted Was a Plain SD Card Inside](https://hackingpassion.com/lenovo-thinkplus-encrypted-usb-sd-card/) — HackingPassion
- [HackerTube](https://karpathy.bearblog.dev/hacker-tube/) — Andrej Karpathy
- [CVE-2026-98432](https://ubuntu.com/security/CVE-2026-98432) — Ubuntu Security
- [RHSB-2026-016: Use-after-free - kernel IPv4 (CVE-2026-98432)](https://access.redhat.com/security/vulnerabilities/RHSB-2026-016) — Red Hat
- [ipv4: free inet\_opt and ireq\_opt after an RCU grace period](https://github.com/torvalds/linux/commit/e3f33b0a1d89d738e2b913dab519226eaf76e15b) — Linux kernel (Eric Dumazet)
- [Discovering and exploiting vulnerabilities in critical, real-world software with Claude](https://www.anthropic.com/research/discovering-vulnerabilities-with-claude) — Anthropic
- [Protecting against CVE-2026-98432 when using Go programs](https://www.openwall.com/lists/oss-security/2026/10/30/1) — Go Security Team via oss-security
- [Linux's October 2026 TCP Use-After-Free: CVE-2026-98432](https://atlasum.net/blog/cve-2026-98432-linux-ipv4-tcp-uaf) — Atlas