Três brechas de segurança no PCIe 5.0 expõem riscos de acesso físico a servidores profissionais

PCIe 5.0, padrão de interconexão de alta velocidade adotado por placas de vídeo, SSDs e diversos periféricos internos, apresentou três vulnerabilidades catalogadas pelo consórcio PCI-SIG. As falhas, classificadas como CVE-2025-9612, CVE-2025-9613 e CVE-2025-9614, obtiveram pontuações de até 3,1 no sistema CVSS, índice considerado baixo, mas exigem atenção de administradores de servidores equipados com processadores Intel Xeon 6 e AMD EPYC 9005.

O que é o PCIe 5.0 e por que ele é crucial nos computadores modernos

O Peripheral Component Interconnect Express, ou simplesmente PCIe, evoluiu ao longo de cinco gerações desde a primeira especificação lançada em 2003. A versão PCIe 5.0 dobrou a largura de banda da geração anterior, chegando a 32 GT/s (giga-transferências por segundo) por pista, o que resulta em 128 GB/s em um slot x16 de mão dupla. Essa capacidade permite que componentes de alto desempenho — como unidades de estado sólido NVMe Gen 5 e placas gráficas topo de linha — transmitam grandes volumes de dados com latências mínimas. O protocolo mantém retrocompatibilidade, possibilitando instalar um dispositivo Gen 5 em um conector Gen 4, porém essa flexibilidade não impede que vulnerabilidades específicas afetem apenas a geração mais recente.

Detalhes técnicos das três brechas no PCIe 5.0

O PCI-SIG identificou três lacunas de baixo nível no ecossistema PCIe 5.0. Todas elas exigem que o invasor alcance o barramento físico ou tenha privilégios de firmware para interagir diretamente com o hardware:

CVE-2025-9612 – Falha que, em determinadas implementações, permite leitura não autorizada de blocos de memória mapeados ao dispositivo, abrindo espaço para vazamento de informações confidenciais.

CVE-2025-9613 – Vulnerabilidade que possibilita escalada de privilégios dentro do subsistema, concedendo permissões acima do nível esperado caso sejam exploradas rotinas do protocolo IDE (Integrity and Data Encryption) ou TDISP (Transport Layer Independent Security Protocol).

CVE-2025-9614 – Inconsistência na manipulação de sinalização de erro que, quando disparada, pode levar à negação de serviço (DoS) e potencialmente travar o componente conectado, interrompendo a comunicação no slot afetado.

A pontuação CVSS 3,1 indica que, embora as falhas sejam legítimas, o alcance e o impacto são limitados porque o cenário de ataque requer acesso local ou físico. Por esse motivo, o PCI-SIG classifica o risco como baixo para estações de trabalho comuns e moderado para data centers expostos a operadores terceirizados ou ambientes pouco controlados.

Como os ataques podem explorar o PCIe 5.0 na prática

Para que qualquer uma das três brechas seja explorada, o atacante precisa manipular sinais elétricos no próprio barramento PCIe 5.0 ou carregar firmware adulterado no dispositivo conectado. Na prática, isso significa ter acesso direto ao slot na placa-mãe ou à cadeia de inicialização do sistema. Em data centers, tal acesso pode ocorrer por meio de manutenção terceirizada ou em situações em que hardware é adquirido de segunda mão sem verificação de integridade.

Uma vez estabelecido o ponto de entrada, o invasor pode perseguir três objetivos distintos:

• Divulgação de dados: leitura de buffers de memória que, normalmente, deveriam permanecer inacessíveis fora do contexto do driver legítimo.
• Elevação de privilégios: obtenção de permissões de kernel ou hypervisor ao explorar lacunas na implementação das camadas de segurança IDE e TDISP.
• Negação de serviço: indução de falhas de protocolo capazes de congelar certos controladores, forçando reinicialização e gerando indisponibilidade temporária.

Como tais operações dependem de interação direta com o hardware, não há relato de vetores remotos via Internet. Consequentemente, o impacto mais significativo recai sobre servidores que manipulam informações sensíveis e que contam com múltiplos operadores humanos.

Processadores e sistemas impactados pelas vulnerabilidades

A investigação do consórcio aponta para uma correlação entre as falhas e famílias específicas de processadores que adotam controladoras PCIe 5.0 integradas:

• Intel: modelos Xeon 6 com P-cores e as séries 6700P-B/6500P-B.
• AMD: linhas EPYC 9005 Series e EPYC Embedded 9005 Series.

Ambas as plataformas destinam-se prioritariamente a infraestrutura de servidores, nuvens privadas e aplicações de borda. A exigência de alto throughput nessas áreas impulsionou a adoção precoce do PCIe Gen 5, tornando esses ambientes os mais suscetíveis aos CVEs divulgados. Sistemas baseados no protocolo 4.0 não manifestam o mesmo comportamento, pois a lógica de enlace e sinalização difere da quinta geração.

Impacto para usuários domésticos e empresas de grande porte

Para quem utiliza computadores pessoais, inclusive estações gamers ou PCs de uso geral, o risco imediato é considerado baixo. A principal barreira continua sendo o acesso físico, pouco provável em ambientes residenciais controlados. Além disso, a presença de SSDs Gen 5 ainda é limitada nesses segmentos, reduzindo ainda mais a superfície de ataque.

Já em data centers de grande escala, laboratórios de pesquisa ou instalações governamentais, o cenário muda. Tais locais contam com equipes extensas de operação, rotação de hardware e procedimentos de manutenção frequentes. Cada ciclo de troca de periféricos ou atualização de firmware amplia a chance de inserção de um componente manipulado. Nesses contextos, políticas rígidas de cadeia de suprimentos e auditorias regulares de firmware tornam-se essenciais para mitigar o problema.

Medidas de mitigação recomendadas pelo PCI-SIG e pelos fabricantes

Embora as três vulnerabilidades tenham gravidade baixa, o PCI-SIG orienta os administradores a:

• Aplicar as versões mais recentes de BIOS e firmware liberadas pelos fabricantes de placas-mãe e controladores.
• Habilitar verificações de integridade de firmware em servidores compatíveis, impedindo a inicialização de dispositivos não assinados.
• Isolar fisicamente racks que contêm hardware sensível, limitando o acesso a pessoal autorizado.
• Monitorar logs de sistema em busca de eventos de erro PCIe incomuns, que podem evidenciar tentativas de DoS ou exploração de falhas de sinalização.

A retrocompatibilidade do PCIe garante que, se necessário, organizações possam executar dispositivos Gen 5 no modo Gen 4, reduzindo a exposição enquanto aguardam patches definitivos. Contudo, essa solução acarreta sacrifício de desempenho e só deve ser adotada em cenários que exijam proteção imediata.

No momento, não há registro de exploração ativa nem previsão de que o problema afete produtos baseados no protocolo PCIe 4.0.