Cyber ·
CVE-2026-72704: falha de solidez no verificador de guardas do Rocq permite prova de False
Aviso de segurança sobre o verificador de guardas do kernel Rocq: após uma reescrita de parâmetro de tipo indutivo, a árvore recursiva não é verificada novamente, e uma prova de False pode ser aceita como válida.
O aviso CVE-2026-72704 descreve uma falha de solidez no verificador de guardas do kernel do Rocq, assistente de provas usado em matemática formal e verificação de software. Segundo o texto, quando uma reescrita por transporte (eq_rect ou rew) altera um parâmetro de tipo indutivo, o verificador não refaz a checagem da árvore recursiva (rectree) desse parâmetro. Com isso, um ponto fixo pode aplicar uma reescrita baseada em igualdade de tipos ao seu argumento recursivo, o que permitiria construir uma prova verificada de False e, por extensão, de qualquer proposição, inclusive 0 = 1. O aviso foi publicado na lista oss-sec em 25 de outubro de 2026 e é tratado como zero-day, ou seja, sem correção conhecida no momento da divulgação. A informação aqui é um resumo do texto de divulgação, que é uma tradução automática; detalhes de versões afetadas e correções devem ser conferidos na fonte original. Para a equipe da organização, a relevância é indireta: quem depende de provas formais em Rocq deve tratar resultados verificados como possivelmente não confiáveis até que haja correção oficial. A Rota Nacional não resolve esse problema de engenharia do kernel e não oferece verificação de provas.