Pesquisadores alertam: bug Y2K38 já é explorável hoje

Pesquisadores alertam que o bug conhecido como Y2K38 (e o problema semelhante de 2036) não é apenas uma anomalia de data para ser resolvida daqui a anos, mas uma vulnerabilidade que atores maliciosos podem explorar já hoje. Sistemas que armazenam o tempo em inteiros de 32 bits irão transbordar em 19 de janeiro de 2038, fazendo as contagens voltarem a 1901, e técnicas de manipulação de tempo podem forçar esse comportamento de imediato em dispositivos alvo.

Leia também
Após incidente, 50% das recuperações falham
Crime cibernético de IA é indefensável, dizem líderes de TI

Ataques práticos incluem spoofing de GPS, injeção NTP, manipulação de campos de timestamps em formatos de arquivo e protocolos, o que permite definir o relógio de sistemas embarcados ou servidores para o ano 2036/2038 e disparar falhas. Em ambientes de TI e OT, isso pode corromper logs, quebrar autenticações baseadas em tempo, invalidar certificados TLS e até causar falhas em controles de segurança e processos críticos.

Os pesquisadores Trey Darley e Pedro Umbelino publicaram o projeto Epochalypse para catalogar vetores de exploração e ferramentas de detecção, e já notificaram fornecedores cujos produtos se mostram vulneráveis. Um exemplo citado é a Dover Fueling Solutions, que publicou atualizações para seus produtos ProGauge após terem sido identificadas falhas que permitem alteração manual do tempo (CVE-2025-55068). A recomendação é priorizar identificação e correção de dispositivos críticos, aplicar mitigação onde possível e preparar planos de contingência para equipamentos que não podem ser atualizados.

Os autores defendem que a comunidade trate o rollover de 2036/2038 como vulnerabilidade, usando frameworks como CVSS para priorizar correções. Corrigir o problema em muitos dispositivos legados pode exigir mudanças arquiteturais, como migrar de inteiros de 32 bits para 64 bits, e demanda coordenação global, inventário amplo e priorização de ativos críticos.