Cyber ·
CVE-2026-72705: verificador de guardas do Rocq aceita ponto fixo e permite provar 0 = 1
Falha de solidez no verificador de guardas do kernel Rocq permite construir prova verificada de False, e de qualquer proposição, sem axiomas, táticas, plugins ou sinalizadores inseguros. A divulgação foi publicada na lista oss-sec em 25 de outubro de 2026.
Radar: a lista oss-sec divulgou, em 25 de outubro de 2026, a vulnerabilidade CVE-2026-72705 no Rocq, assistente de provas formais. O verificador de guardas do kernel não acompanha chamadas recursivas feitas por meio dos próprios argumentos de um ponto fixo. Com isso, um ponto fixo pode passar a si mesmo como argumento e produzir uma prova de False e, por extensão, de qualquer proposição, incluindo 0 = 1. Segundo o relato, a prova não usa axiomas, táticas, plugins ou sinalizadores inseguros, e o comando Print Assumptions a apresenta como fechada no contexto global. Isso significa que essa verificação habitual não detecta o problema. O aviso é um resumo de tradução automática de um texto original; a fonte completa deve ser consultada para versões afetadas, correções e detalhes técnicos. Relevância para a Rota Nacional: a plataforma não corrige nem contém essa falha, que está no software de verificação formal. Quem usa o Rocq para provas que sustentam decisões deve tratar resultados como não confiáveis até atualizar a ferramenta.