{"id":20076,"date":"2026-07-27T18:35:51","date_gmt":"2026-07-27T16:35:51","guid":{"rendered":"https:\/\/webhosting.de\/copy-fail-vulnerability-shared-hosting-kernel-exploit-sicherheit\/"},"modified":"2026-07-27T18:35:51","modified_gmt":"2026-07-27T16:35:51","slug":"falha-de-copia-vulnerabilidade-alojamento-partilhado-exploracao-do-kernel-seguranca","status":"publish","type":"post","link":"https:\/\/webhosting.de\/pt\/copy-fail-vulnerability-shared-hosting-kernel-exploit-sicherheit\/","title":{"rendered":"Vulnerabilidade \u00abCopy-Fail\u00bb \u2013 Riscos para as plataformas de alojamento partilhado"},"content":{"rendered":"<p>A vulnerabilidade <strong>Falha na c\u00f3pia<\/strong> (CVE-2026-31431) representa uma amea\u00e7a imediata para os servidores de alojamento partilhado, uma vez que um utilizador local pode obter direitos de root em segundos. Em ambientes multi-tenant, isto compromete a <strong>Isolamento<\/strong> entre contas, assim que uma \u00fanica conta for comprometida.<\/p>\n\n<h2>Pontos centrais<\/h2>\n\n<ul>\n  <li><strong>Escalada local<\/strong>: Um utilizador sem privil\u00e9gios for\u00e7a a grava\u00e7\u00e3o controlada no cache de p\u00e1ginas.<\/li>\n  <li><strong>Kernel comum<\/strong>: Um servidor, muitos clientes \u2013 um exploit, controlo total.<\/li>\n  <li><strong>Alvo Setuid<\/strong>: Os ficheiros bin\u00e1rios manipulados permitem obter rapidamente direitos de root.<\/li>\n  <li><strong>Obriga\u00e7\u00e3o de aplicar a atualiza\u00e7\u00e3o<\/strong>: Corre\u00e7\u00e3o do kernel com reinicializa\u00e7\u00e3o; prote\u00e7\u00e3o transit\u00f3ria atrav\u00e9s da lista negra\/Seccomp.<\/li>\n  <li><strong>Riscos da hospedagem<\/strong>: Fuga de contenedor, fuga de dados, manipula\u00e7\u00e3o de sites.<\/li>\n<\/ul>\n\n<h2>Por que \u00e9 que o \u00abCopy Fail\u00bb afeta especialmente o alojamento partilhado<\/h2>\n\n<p>Nos servidores de alojamento partilhado cl\u00e1ssicos, muitos clientes partilham o mesmo <strong>Kernel<\/strong>, o que faz com que uma escalada de privil\u00e9gios local tenha um impacto imediato na plataforma. Basta um nome de utilizador roubado, uma palavra-passe fraca ou um webshell infiltrado para iniciar o exploit no anfitri\u00e3o e <strong>Clientes<\/strong> passar. Mecanismos de isolamento como o chroot ou contentores simples perdem a sua utilidade assim que o atacante penetra na \u00e1rea do kernel. \u00c9 precisamente isso que o Copy Fail permite, ao for\u00e7ar um acesso de escrita controlado ao cache de p\u00e1ginas de ficheiros leg\u00edveis. Quem procura uma forte <a href=\"https:\/\/webhosting.de\/pt\/alojamento-partilhado-seguranca-isolamento-do-inquilino-serverguard\/\">Isolamento do inquilino<\/a> Embora reduza a propaga\u00e7\u00e3o, sem um kernel com o patch aplicado, o risco continua a ser significativo.<\/p>\n\n<h2>Contexto t\u00e9cnico e mec\u00e2nica do exploit<\/h2>\n\n<p>A lacuna reside no <strong>algif_aead<\/strong>-M\u00f3dulo da interface AF_ALG, que disponibiliza opera\u00e7\u00f5es criptogr\u00e1ficas atrav\u00e9s de sockets. Um erro l\u00f3gico, em combina\u00e7\u00e3o com a fun\u00e7\u00e3o splice(), permite uma opera\u00e7\u00e3o de grava\u00e7\u00e3o direcionada de quatro bytes no <strong>Cache de p\u00e1gina<\/strong> quaisquer ficheiros leg\u00edveis, incluindo bin\u00e1rios setuid. Desta forma, os atacantes manipulam uma pequena parte de um ficheiro bin\u00e1rio na cache, executam-no e obt\u00eam, em seguida, um shell de root. Em testes, bastou um \u00abproof-of-concept\u00bb compacto com cerca de 732 bytes de c\u00f3digo Python para desencadear a escalada completa de privil\u00e9gios. O ponto de entrada permanece local, mas o impacto \u00e9 global para todo o anfitri\u00e3o.<\/p>\n\n\n<figure class=\"wp-block-image size-full is-resized\">\n  <img fetchpriority=\"high\" decoding=\"async\" src=\"https:\/\/webhosting.de\/wp-content\/uploads\/2026\/07\/hosting-risiken-4517.png\" alt=\"Riscos de falhas na c\u00f3pia para plataformas de alojamento partilhado\" width=\"1536\" height=\"1024\"\/>\n<\/figure>\n\n\n<h2>Distribui\u00e7\u00f5es afetadas e estado da corre\u00e7\u00e3o<\/h2>\n\n<p>O \u00abCopy Fail\u00bb afeta muitos <strong>Distribui\u00e7\u00f5es<\/strong>, que, desde 2017, incorporaram otimiza\u00e7\u00f5es do kernel na via algif_aead. Entre elas contam-se plataformas de servidor comuns, como o Ubuntu LTS, o Debian, derivados do RHEL, o SUSE\/openSUSE, o Amazon Linux, o AlmaLinux e o Fedora. A corre\u00e7\u00e3o determinante \u00e9 o commit do kernel <strong>a664bf3d603d<\/strong>, que rejeita a otimiza\u00e7\u00e3o incorreta. Os operadores devem instalar os pacotes do kernel adequados, reiniciar obrigatoriamente o sistema e verificar a vers\u00e3o ativa. Sem reiniciar, o kernel antigo permanece ativo, o que tornaria o host continuamente vulner\u00e1vel.<\/p>\n\n<h2>Riscos concretos para os prestadores de servi\u00e7os de alojamento<\/h2>\n\n<p>Ap\u00f3s uma escalada bem-sucedida com <strong>Falha na c\u00f3pia<\/strong> O host fica exposto, incluindo bases de dados, configura\u00e7\u00f5es e c\u00f3pias de seguran\u00e7a. Um atacante pode substituir ficheiros nas contas dos clientes, criar acessos persistentes e preparar inje\u00e7\u00f5es de c\u00f3digo discretas. Em ambientes de contentores com kernel partilhado, uma fuga do contentor traduz-se rapidamente em acesso ao anfitri\u00e3o com <strong>Raiz<\/strong>-Direitos. Est\u00e3o particularmente em risco os sistemas com muitos utilizadores interativos, executores de CI\/CD ou scripts que executam regularmente c\u00f3digo externo. Cada fonte de execu\u00e7\u00e3o adicional aumenta a probabilidade de algu\u00e9m aplicar a alavanca local no kernel.<\/p>\n\n\n<figure class=\"wp-block-image size-full is-resized\">\n  <img decoding=\"async\" src=\"https:\/\/webhosting.de\/wp-content\/uploads\/2026\/07\/copy-fail-vulnerability-0283.png\" alt=\"\" width=\"1536\" height=\"1024\"\/>\n<\/figure>\n\n\n<h2>Diferencia\u00e7\u00e3o: Kernel partilhado vs. arquiteturas refor\u00e7adas<\/h2>\n\n<p>Um isolamento mais forte reduz o efeito de plataforma, substituindo o <strong>Remendo<\/strong> Mas n\u00e3o \u00e9 assim. Os ambientes de execu\u00e7\u00e3o MicroVM, como o Firecracker ou o Cloud Hypervisor, isolam as cargas de trabalho atrav\u00e9s da virtualiza\u00e7\u00e3o de hardware, o que faz com que as escaladas do kernel local no sistema convidado tenham menos impacto no anfitri\u00e3o. O sandboxing do tipo gVisor dificulta as chamadas de sistema, enquanto os perfis Seccomp rigorosos <strong>AF_ALG<\/strong>- \u00c9 poss\u00edvel bloquear totalmente o acesso. Estas medidas reduzem a superf\u00edcie de ataque, sobretudo no caso de cargas de trabalho n\u00e3o confi\u00e1veis. Apesar disso, um host sem patches continua a ser o elo mais fraco.<\/p>\n\n<h2>Medidas imediatas: o que vou p\u00f4r em pr\u00e1tica hoje<\/h2>\n\n<p>Em primeiro lugar, dou prioridade a um levantamento completo de todos os <strong>Kernel<\/strong>-Estados e fun\u00e7\u00f5es dos servidores afetados. Em seguida, instalo rapidamente os patches do kernel com o commit a664bf3d603d, reinicio o sistema e confirmo a vers\u00e3o ativa atrav\u00e9s das Ferramentas do Sistema. Caso, em casos pontuais, n\u00e3o seja poss\u00edvel efetuar a atualiza\u00e7\u00e3o de forma imediata, bloqueio o m\u00f3dulo algif_aead atrav\u00e9s de \/etc\/modprobe.d e utilizo initcall_blacklist=algif_aead_init durante o arranque. Al\u00e9m disso, refor\u00e7o os perfis Seccomp para que processos n\u00e3o confi\u00e1veis n\u00e3o criem sockets AF_ALG. Estas medidas transit\u00f3rias reduzem a vulnerabilidade, substituindo o <strong>Atualiza\u00e7\u00e3o<\/strong> mas n\u00e3o.<\/p>\n\n\n<figure class=\"wp-block-image size-full is-resized\">\n  <img decoding=\"async\" src=\"https:\/\/webhosting.de\/wp-content\/uploads\/2026\/07\/shared-hosting-risk-copy-fail-2946.png\" alt=\"\" width=\"1536\" height=\"1024\"\/>\n<\/figure>\n\n\n<h2>Monitoriza\u00e7\u00e3o e resposta a incidentes<\/h2>\n\n<p>Eu ativo <strong>Auditoria<\/strong>-Mecanismos como o auditd, para detetar a utiliza\u00e7\u00e3o do AF_ALG e acessos suspeitos a bin\u00e1rios setuid. Os registos centralizados ajudam-me a identificar padr\u00f5es recorrentes e a isolar mais rapidamente as contas comprometidas. Em caso de suspeita, obtenho imagens de mem\u00f3ria, verifico listas de processos, comparo hashes de bin\u00e1rios do sistema e valido a integridade dos pacotes. Em seguida, implemento medidas de emerg\u00eancia: reinicio o acesso, fa\u00e7o a rota\u00e7\u00e3o de chaves, aplico bloqueios tempor\u00e1rios e aprofundo as an\u00e1lises forenses. Uma clara <strong>Manual de estrat\u00e9gias<\/strong>A estrutura reduz o tempo de rea\u00e7\u00e3o e limita os danos colaterais.<\/p>\n\n<h2>Multiloca\u00e7\u00e3o, conformidade e comunica\u00e7\u00e3o com os clientes<\/h2>\n\n<p>Os ambientes de clientes exigem diretrizes claras <strong>SLA<\/strong>- Regras, informa\u00e7\u00f5es transparentes sobre patches e janelas de manuten\u00e7\u00e3o definidas. Documento as atualiza\u00e7\u00f5es do kernel de forma compreens\u00edvel, confirmo os rein\u00edcios e mantenho registos dispon\u00edveis para auditorias. Ap\u00f3s uma escalada, verifico sistematicamente quais os dados dos clientes que possam ter sido expostos e informo atempadamente as pessoas afetadas. Os processos internos regulam quando s\u00e3o necess\u00e1rios relat\u00f3rios de incidentes e como cumprir os prazos regulamentares. Desta forma, refor\u00e7o a confian\u00e7a e reduzo o <strong>Risco<\/strong> consequ\u00eancias jur\u00eddicas.<\/p>\n\n\n<figure class=\"wp-block-image size-full is-resized\">\n  <img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/webhosting.de\/wp-content\/uploads\/2026\/07\/copy_fail_risiko_shared_hosting_8392.png\" alt=\"\" width=\"1536\" height=\"1024\"\/>\n<\/figure>\n\n\n<h2>Perspetiva do cliente: O que os gestores de sites devem fazer agora<\/h2>\n\n<p>Os clientes finais tamb\u00e9m t\u00eam a sua responsabilidade, porque os dispositivos comprometidos <strong>Contas<\/strong> que s\u00e3o frequentemente o ponto de entrada para ataques locais. Aposto em palavras-passe fortes, autentica\u00e7\u00e3o multifator (MFA) e elimino acessos SSH ou shell que n\u00e3o sejam utilizados. Mantenho o CMS, os plugins e os temas sempre atualizados, para reduzir as portas de entrada iniciais. Verifica\u00e7\u00f5es regulares de integridade e c\u00f3pias de seguran\u00e7a reduzem o tempo de recupera\u00e7\u00e3o, caso venham a ocorrer manipula\u00e7\u00f5es. Quanto menos acessos desnecess\u00e1rios existirem, menor ser\u00e1 o <strong>Superf\u00edcie de ataque<\/strong> por falha na c\u00f3pia.<\/p>\n\n<h2>Papel das configura\u00e7\u00f5es Linux distribu\u00eddas e das distribui\u00e7\u00f5es espec\u00edficas<\/h2>\n\n<p>Muitos fornecedores utilizam <strong>Gr\u00e3os<\/strong> ou distribui\u00e7\u00f5es como o CloudLinux, que limitam os recursos e os direitos por conta. Tais medidas reduzem os efeitos colaterais caso um \u00fanico cliente seja comprometido; no entanto, uma falha no kernel n\u00e3o corrigida continua a ser um ponto vulner\u00e1vel. Em ambientes virtualizados com KVM\/Xen, o fator decisivo \u00e9 se \u00e9 utilizado um kernel partilhado; se as cargas de trabalho partilham o mesmo kernel, a propaga\u00e7\u00e3o de uma explora\u00e7\u00e3o local continua a ser uma possibilidade realista. Nesse contexto, tenho tamb\u00e9m em conta aspetos relacionados com o cache e a comunica\u00e7\u00e3o entre processos (IPC), que podem abrir vias de fuga adicionais. Informa\u00e7\u00f5es \u00fateis sobre <a href=\"https:\/\/webhosting.de\/pt\/https-webhosting-de-memoria-partilhada-riscos-hosting-cache-isolamento-de-dados\/\">Riscos da mem\u00f3ria partilhada<\/a> ajudam a abordar estes efeitos secund\u00e1rios de forma mais espec\u00edfica.<\/p>\n\n\n<figure class=\"wp-block-image size-full is-resized\">\n  <img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/webhosting.de\/wp-content\/uploads\/2026\/07\/CopyFailVulnDesk1234.png\" alt=\"\" width=\"1536\" height=\"1024\"\/>\n<\/figure>\n\n\n<h2>Compara\u00e7\u00e3o: modelos, riscos e medidas de preven\u00e7\u00e3o<\/h2>\n\n<p>Para orienta\u00e7\u00e3o, vou resumir os pontos mais importantes <strong>Diferen\u00e7as<\/strong> Compare os modelos de alojamento e classifique os riscos, bem como as rea\u00e7\u00f5es recomendadas. Esta vis\u00e3o geral ajuda a avaliar o impacto do \u00abCopy Fail\u00bb na respetiva arquitetura. O fator decisivo continua a ser se as cargas de trabalho partilham o mesmo kernel e qu\u00e3o rigorosas s\u00e3o as restri\u00e7\u00f5es \u00e0s chamadas de sistema. Quanto maior for a separa\u00e7\u00e3o, menor ser\u00e1 o impacto na plataforma de uma escalada local. No entanto, aplica-se o seguinte: sem uma resposta atempada <strong>Patch do kernel<\/strong> qualquer modelo continua a ser vulner\u00e1vel.<\/p>\n\n<table>\n  <thead>\n    <tr>\n      <th>Modelo de alojamento<\/th>\n      <th>Parti\u00e7\u00e3o do kernel<\/th>\n      <th>Risco decorrente de uma falha na c\u00f3pia<\/th>\n      <th>Medida central<\/th>\n      <th>Prote\u00e7\u00e3o adicional<\/th>\n    <\/tr>\n  <\/thead>\n  <tbody>\n    <tr>\n      <td>Hospedagem partilhada cl\u00e1ssica<\/td>\n      <td>Sim (kernel comum)<\/td>\n      <td>Elevado: Escalada de conta para anfitri\u00e3o<\/td>\n      <td>Corre\u00e7\u00e3o + Reinicializa\u00e7\u00e3o (a664bf3d603d)<\/td>\n      <td>Bloco Seccomp para AF_ALG; Monitoriza\u00e7\u00e3o<\/td>\n    <\/tr>\n    <tr>\n      <td>Contentores num host partilhado<\/td>\n      <td>Sim (kernel do anfitri\u00e3o)<\/td>\n      <td>Alto: Fuga do contentor para o anfitri\u00e3o<\/td>\n      <td>Atualiza\u00e7\u00e3o + Reinicializa\u00e7\u00e3o<\/td>\n      <td>gVisor\/MicroVM; pol\u00edticas restritivas<\/td>\n    <\/tr>\n    <tr>\n      <td>M\u00c1s com hipervisor<\/td>\n      <td>N\u00e3o (kernel de convidado separado)<\/td>\n      <td>M\u00e9todo: O convidado \u00e9 comprometido, o anfitri\u00e3o fica isolado<\/td>\n      <td>Patch no convidado + anfitri\u00e3o<\/td>\n      <td>Separa\u00e7\u00e3o rigorosa, auditoria, disciplina na realiza\u00e7\u00e3o de c\u00f3pias de seguran\u00e7a<\/td>\n    <\/tr>\n    <tr>\n      <td>Runtimes MicroVM<\/td>\n      <td>N\u00e3o (separa\u00e7\u00e3o acentuada)<\/td>\n      <td>Mais baixo: menor efeito de plataforma<\/td>\n      <td>Patch por MicroVM + Host<\/td>\n      <td>Perfis Seccomp r\u00edgidos, bloquear AF_ALG<\/td>\n    <\/tr>\n  <\/tbody>\n<\/table>\n\n<h2>Li\u00e7\u00f5es a retirar do \u00abCopy Fail\u00bb para a seguran\u00e7a do alojamento web<\/h2>\n\n<p>Considero o \u00abCopy Fail\u00bb um claro sinal de alerta para <strong>Processos<\/strong> em torno da gest\u00e3o de patches, da arquitetura e da opera\u00e7\u00e3o. Os percursos pr\u00f3ximos do kernel, como a cache de p\u00e1ginas e as interfaces criptogr\u00e1ficas, exigem uma elevada disciplina em rela\u00e7\u00e3o \u00e0s altera\u00e7\u00f5es. Um ciclo robusto de monitoriza\u00e7\u00e3o, implementa\u00e7\u00e3o r\u00e1pida, reinicializa\u00e7\u00e3o e valida\u00e7\u00e3o passa a ser obrigat\u00f3rio a partir de agora. As li\u00e7\u00f5es aprendidas com vulnerabilidades relacionadas com a cache de p\u00e1ginas, tais como <a href=\"https:\/\/webhosting.de\/pt\/dirty-frag-kernel-do-linux-falha-de-seguranca-servidor-de-alojamento-protecao\/\">Dirty Frag<\/a> mostram que essas s\u00e9ries de erros s\u00e3o sinais de riscos estruturais. Quem oferece ou utiliza alojamento partilhado deve verificar o seu <strong>Estrat\u00e9gia<\/strong> orientar-se para um isolamento mais rigoroso, atualiza\u00e7\u00f5es fi\u00e1veis e a minimiza\u00e7\u00e3o das vulnerabilidades.<\/p>\n\n<h2>Verifica\u00e7\u00e3o pr\u00e1tica do risco e do fix<\/h2>\n\n<p>Asseguro-me de que a avalia\u00e7\u00e3o e as medidas corretivas sejam mensur\u00e1veis. Isso inclui:<\/p>\n<ul>\n  <li>Determinar a vers\u00e3o do kernel e verificar o estado das corre\u00e7\u00f5es (<code>uname -r<\/code>, consulta ao gestor de pacotes, registos de altera\u00e7\u00f5es).<\/li>\n  <li>Inspecionar m\u00f3dulos ativos: <code>algif_aead<\/code> n\u00e3o deve estar carregado durante as fases de transi\u00e7\u00e3o (por exemplo, atrav\u00e9s de <code>lsmod<\/code> ou <code>cat \/proc\/modules<\/code>).<\/li>\n  <li>Verificar o estado da configura\u00e7\u00e3o: <code>CONFIG_CRYPTO_USER_API_AEAD<\/code> indica se o subsistema est\u00e1, em princ\u00edpio, dispon\u00edvel (<code>config-$(uname -r)<\/code>).<\/li>\n  <li>Validar os par\u00e2metros de arranque: <code>initcall_blacklist=algif_aead_init<\/code> tem de estar ativo no sistema de produ\u00e7\u00e3o (linha de comando do kernel e <code>dmesg<\/code> verificar).<\/li>\n  <li>Ap\u00f3s o rein\u00edcio, verificar a autenticidade: verifica\u00e7\u00f5es de hash dos pacotes do kernel, assinaturas e compara\u00e7\u00e3o com a documenta\u00e7\u00e3o de manuten\u00e7\u00e3o.<\/li>\n<\/ul>\n<p>Fa\u00e7o uma distin\u00e7\u00e3o deliberada entre a confirma\u00e7\u00e3o do risco e a reprodu\u00e7\u00e3o da explora\u00e7\u00e3o: esta \u00faltima \u00e9 desnecess\u00e1ria em ambientes de produ\u00e7\u00e3o e potencialmente perigosa. Basta verificar a exist\u00eancia de caminhos de c\u00f3digo vulner\u00e1veis e a aus\u00eancia de medidas de mitiga\u00e7\u00e3o ou de corre\u00e7\u00f5es no kernel.<\/p>\n\n<h2>Requisitos, limita\u00e7\u00f5es e erros t\u00edpicos<\/h2>\n\n<p>O Copy Fail requer acesso \u00e0 execu\u00e7\u00e3o de c\u00f3digo local, um subsistema AF_ALG dispon\u00edvel e um ficheiro alvo que possa ser explorado na cache de p\u00e1ginas. Na pr\u00e1tica, os seguintes fatores atuam como limitantes ou dificultam a execu\u00e7\u00e3o:<\/p>\n<ul>\n  <li><strong>Prote\u00e7\u00e3o contra chamadas de sistema<\/strong>: Perfis Seccomp rigorosos, ambientes de execu\u00e7\u00e3o em sandbox ou imagens m\u00ednimas sem AF_ALG reduzem a capacidade de execu\u00e7\u00e3o.<\/li>\n  <li><strong>Integridade do sistema de ficheiros<\/strong>: Mecanismos como o IMA\/EVM, o fs-verity, as montagens \u00abRead-Only\u00bb, \u00abnoexec\u00bb e \u00abnosuid\u00bb ou as parti\u00e7\u00f5es de sistema imut\u00e1veis reduzem o intervalo de tempo durante o qual \u00e9 poss\u00edvel executar ficheiros bin\u00e1rios manipulados.<\/li>\n  <li><strong>Caracter\u00edsticas do cache<\/strong>: O ataque atua na cache de p\u00e1ginas. A persist\u00eancia n\u00e3o \u00e9 garantida e depende do comportamento posterior do sistema. No entanto, os direitos de root obtidos permitem, posteriormente, a cria\u00e7\u00e3o de backdoors permanentes.<\/li>\n  <li><strong>Papel dos alvos Setuid<\/strong>: Nem todos os ambientes disp\u00f5em de ficheiros bin\u00e1rios setuid execut\u00e1veis nos caminhos relevantes nem permitem a sua execu\u00e7\u00e3o no contexto do inquilino.<\/li>\n<\/ul>\n<p>Entre os equ\u00edvocos t\u00edpicos em incidentes est\u00e1 a ideia de que a aus\u00eancia de altera\u00e7\u00f5es no sistema de ficheiros no disco significa que n\u00e3o h\u00e1 motivo de preocupa\u00e7\u00e3o, ou que o isolamento dos contentores oferece prote\u00e7\u00e3o suficiente. Os kernels partilhados refutam ambas as suposi\u00e7\u00f5es.<\/p>\n\n<h2>Estrat\u00e9gia operacional: implementa\u00e7\u00e3o de patches sem interrup\u00e7\u00e3o do servi\u00e7o<\/h2>\n\n<p>Planeio as atualiza\u00e7\u00f5es de forma a conciliar a seguran\u00e7a e a disponibilidade:<\/p>\n<ul>\n  <li><strong>Modelo por etapas<\/strong>: Primeiro os servidores Canary, depois a implementa\u00e7\u00e3o em lote. Antes do rein\u00edcio em massa, as verifica\u00e7\u00f5es de funcionalidade e a monitoriza\u00e7\u00e3o sint\u00e9tica validam a plataforma.<\/li>\n  <li><strong>Janela de manuten\u00e7\u00e3o<\/strong>: Comunica\u00e7\u00e3o com os clientes atempada, clara e multicanal. Redistribui\u00e7\u00e3o de cargas de trabalho, redu\u00e7\u00e3o da reten\u00e7\u00e3o de sess\u00f5es, pr\u00e9-aquecimento das caches.<\/li>\n  <li><strong>Automatiza\u00e7\u00e3o<\/strong>: Reiniciar de forma orquestrada, avaliar as verifica\u00e7\u00f5es de integridade e, em caso de anomalias, reverter automaticamente.<\/li>\n  <li><strong>Aplica\u00e7\u00e3o de corre\u00e7\u00f5es em tempo real, quando dispon\u00edvel<\/strong>: \u00c9 \u00fatil como solu\u00e7\u00e3o provis\u00f3ria, mas n\u00e3o substitui os rein\u00edcios quando as estruturas do kernel foram corrigidas de forma substancial.<\/li>\n  <li><strong>Documenta\u00e7\u00e3o<\/strong>: Registar de forma coerente as refer\u00eancias dos bilhetes, os ativos em causa, as datas e os documentos de verifica\u00e7\u00e3o.<\/li>\n<\/ul>\n<p>Em clusters com um kernel partilhado, dou prioridade aos n\u00f3s de borda e aos n\u00f3s basti\u00e3o, seguidos da camada de anfitri\u00e3o abaixo da orquestra\u00e7\u00e3o de contentores\/m\u00e1quinas virtuais. Aplico patches e reinicio os executores de CI\/CD e os trabalhadores de compila\u00e7\u00e3o, que lidam com muito c\u00f3digo externo, numa fase particularmente precoce.<\/p>\n\n<h2>Consequ\u00eancias de compatibilidade das medidas de mitiga\u00e7\u00e3o tempor\u00e1rias<\/h2>\n\n<p>A inclus\u00e3o na lista negra de <strong>algif_aead<\/strong> ou um bloqueio Seccomp para AF_ALG pode afetar algumas cargas de trabalho espec\u00edficas, como ferramentas que utilizam deliberadamente a interface AF_ALG. Por isso, procedo da seguinte forma:<\/p>\n<ul>\n  <li><strong>Fazer invent\u00e1rio<\/strong>: Que servi\u00e7os utilizam os sockets AF_ALG? Os ficheiros de configura\u00e7\u00e3o, os par\u00e2metros de arranque e a telemetria ajudam na identifica\u00e7\u00e3o.<\/li>\n  <li><strong>Verificar as alternativas<\/strong>: As bibliotecas de criptografia do lado do utilizador devem continuar a funcionar sem o offload do kernel. \u00c9 importante acompanhar as altera\u00e7\u00f5es no desempenho.<\/li>\n  <li><strong>Exce\u00e7\u00e3o espec\u00edfica<\/strong>: Sempre que for absolutamente necess\u00e1rio, criar listas brancas bem delimitadas e, al\u00e9m disso, impor o isolamento de processos e de namespaces.<\/li>\n<\/ul>\n<p>Comunico quaisquer desvios de desempenho ou de funcionamento de forma aberta e tempor\u00e1ria. Ap\u00f3s a atualiza\u00e7\u00e3o final do kernel, elimino essas exce\u00e7\u00f5es para manter a configura\u00e7\u00e3o simplificada.<\/p>\n\n<h2>Manual de monitoriza\u00e7\u00e3o e dete\u00e7\u00e3o de anomalias<\/h2>\n\n<p>A monitoriza\u00e7\u00e3o n\u00e3o \u00e9 apenas reativa, mas tamb\u00e9m eficaz a n\u00edvel preventivo. Estabele\u00e7o sinais que indicam padr\u00f5es suspeitos:<\/p>\n<ul>\n  <li><strong>Atividade AF_ALG<\/strong>: Cria\u00e7\u00e3o inesperada de sockets a partir de contextos sem privil\u00e9gios.<\/li>\n  <li><strong>Execu\u00e7\u00e3o de um ficheiro bin\u00e1rio setuid<\/strong>: Acessos frequentes ou at\u00edpicos, especialmente em intervalos curtos ou a partir de percursos invulgares.<\/li>\n  <li><strong>Registos do kernel<\/strong>: Tentativas de carregamento de m\u00f3dulos bloqueados, recusas do Seccomp, eventos de auditoria.<\/li>\n  <li><strong>Integridade dos ficheiros<\/strong>: Desvios em rela\u00e7\u00e3o aos hashes de refer\u00eancia de ficheiros bin\u00e1rios cr\u00edticos, mesmo que as manipula\u00e7\u00f5es da cache de p\u00e1ginas nem sempre sejam persistentes.<\/li>\n  <li><strong>Anomalias na conta<\/strong>: Novas chaves SSH, altera\u00e7\u00f5es de palavra-passe, tarefas cron, unidades Systemd suspeitas ap\u00f3s uma escalada.<\/li>\n<\/ul>\n<p>Agrupo m\u00e9tricas e eventos de forma centralizada, atribuo-lhes contexto (cliente, host, \u00e1rvore de processos) e defino manuais de resposta para as primeiras medidas a tomar. Desta forma, reduzo de forma mensur\u00e1vel o MTTD e o MTTR.<\/p>\n\n\n<figure class=\"wp-block-image size-full is-resized\">\n  <img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/webhosting.de\/wp-content\/uploads\/2026\/07\/hosting-sicherheitsrisiken-4812.png\" alt=\"\" width=\"1536\" height=\"1024\"\/>\n<\/figure>\n\n\n<h2>Resposta a incidentes: recupera\u00e7\u00e3o e preserva\u00e7\u00e3o de provas<\/h2>\n\n<p>Ap\u00f3s uma suposta explora\u00e7\u00e3o, come\u00e7o por restabelecer o status quo ante:<\/p>\n<ul>\n  <li><strong>Forense<\/strong>: Imagens da mem\u00f3ria e do disco r\u00edgido de sistemas selecionados, instant\u00e2neos de processos e da rede, cria\u00e7\u00e3o de linhas temporais.<\/li>\n  <li><strong>Conten\u00e7\u00e3o<\/strong>: Isolar as contas comprometidas e os n\u00f3s afetados, encerrar as sess\u00f5es e atualizar os segredos e as chaves.<\/li>\n  <li><strong>Reconstru\u00e7\u00e3o<\/strong>: Imagens \u00abGolden\u00bb limpas, aprovisionamento reproduz\u00edvel, \u00e2ncora de confian\u00e7a m\u00ednima. Sempre que poss\u00edvel, utilizar parti\u00e7\u00f5es de sistema imut\u00e1veis.<\/li>\n  <li><strong>Valida\u00e7\u00e3o<\/strong>: Verifica\u00e7\u00f5es de integridade, listas de verifica\u00e7\u00e3o de conformidade, revis\u00e3o por pares para aprova\u00e7\u00f5es.<\/li>\n<\/ul>\n<p>Em seguida, documento de forma exaustiva quais os dados que poder\u00e3o ser afetados e organizo as notifica\u00e7\u00f5es de acordo com os requisitos regulamentares. As li\u00e7\u00f5es aprendidas s\u00e3o incorporadas no refor\u00e7o da seguran\u00e7a, na monitoriza\u00e7\u00e3o e nos processos.<\/p>\n\n<h2>Governan\u00e7a e capacidade de auditoria<\/h2>\n\n<p>Incorporei as experi\u00eancias de falhas na c\u00f3pia em diretrizes e controlos:<\/p>\n<ul>\n  <li><strong>Pol\u00edtica de atualiza\u00e7\u00f5es<\/strong>: Prazo m\u00e1ximo para a corre\u00e7\u00e3o, n\u00edveis de prioridade definidos, etapas de aprova\u00e7\u00e3o.<\/li>\n  <li><strong>Gest\u00e3o da mudan\u00e7a<\/strong>: Avalia\u00e7\u00f5es de risco para altera\u00e7\u00f5es pr\u00f3ximas do kernel, percursos separados para testes e produ\u00e7\u00e3o.<\/li>\n  <li><strong>Gest\u00e3o de registos<\/strong>: Registos relativos a corre\u00e7\u00f5es, reinicializa\u00e7\u00f5es, verifica\u00e7\u00f5es, sistemas afetados e comunica\u00e7\u00e3o.<\/li>\n  <li><strong>Melhoria cont\u00ednua<\/strong>: M\u00e9tricas como o \u00abMean Time to Patch\u00bb e as taxas de cobertura das medidas de refor\u00e7o de seguran\u00e7a.<\/li>\n<\/ul>\n\n<h2>O endurecimento da arquitetura na pr\u00e1tica<\/h2>\n\n<p>Para al\u00e9m do patch, utilizo restri\u00e7\u00f5es por defeito rigorosas e zonas de confian\u00e7a m\u00ednimas:<\/p>\n<ul>\n  <li><strong>Menos privil\u00e9gio<\/strong> e remo\u00e7\u00e3o de ficheiros bin\u00e1rios SUID, sempre que poss\u00edvel. Alternativas atrav\u00e9s de capacidades e perfis de pol\u00edtica restritos.<\/li>\n  <li><strong>Op\u00e7\u00f5es de montagem<\/strong> como <em>nosuid<\/em>, <em>nodev<\/em>, <em>noexec<\/em> em caminhos de utilizador e tempor\u00e1rios.<\/li>\n  <li><strong>Bloqueio do kernel<\/strong> e cadeias de arranque baseadas em assinaturas, para dificultar as manipula\u00e7\u00f5es com privil\u00e9gios de root.<\/li>\n  <li><strong>Prote\u00e7\u00e3o das interfaces de criptografia<\/strong> atrav\u00e9s do Seccomp, dos perfis SELinux\/AppArmor e das pol\u00edticas de contentores.<\/li>\n<\/ul>\n<p>Para cargas de trabalho particularmente arriscadas, isolo n\u00f3s dedicados ou MicroVMs, a fim de mitigar ainda mais os canais laterais e os efeitos entre inquilinos.<\/p>\n\n<h2>Cen\u00e1rios operacionais e contextualiza\u00e7\u00e3o<\/h2>\n\n<p>Avalio o perfil de risco consoante o tipo de cliente e o grau de atividade:<\/p>\n<ul>\n  <li><strong>Alojamento web cl\u00e1ssico<\/strong>: Muitos utilizadores interativos, pilhas heterog\u00e9neas \u2013 prioridade m\u00e1xima para a aplica\u00e7\u00e3o da corre\u00e7\u00e3o e o rein\u00edcio; bloqueio rigoroso do AF_ALG at\u00e9 l\u00e1.<\/li>\n  <li><strong>CI\/CD e \u00abbuild farms\u00bb<\/strong>: Elevada taxa de altera\u00e7\u00e3o do c\u00f3digo, grande quantidade de c\u00f3digo externo \u2013 endurecimento precoce dos runners, perfis Seccomp agressivos, repara\u00e7\u00f5es r\u00e1pidas.<\/li>\n  <li><strong>Ci\u00eancia\/HPC<\/strong>: Muitos acessos ao Shell, scripts \u2013 pol\u00edticas de in\u00edcio de sess\u00e3o mais rigorosas, segmenta\u00e7\u00e3o por projeto, monitoriza\u00e7\u00e3o rigorosa.<\/li>\n  <li><strong>Raiz gerida<\/strong>: Menor n\u00famero de utilizadores, mas direitos elevados \u2013 corre\u00e7\u00e3o r\u00e1pida, an\u00e1lise forense aprofundada em caso de anomalias.<\/li>\n<\/ul>\n<p>O que todas t\u00eam em comum \u00e9 o seguinte: sem um kernel com patches, o risco residual decorrente de falhas na c\u00f3pia continua a ser inaceit\u00e1vel.<\/p>\n\n\n<figure class=\"wp-block-image size-full is-resized\">\n  <img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/webhosting.de\/wp-content\/uploads\/2026\/07\/hosting-sicherheitsrisiken-4812.png\" alt=\"\" width=\"1536\" height=\"1024\"\/>\n<\/figure>\n\n\n<h2>Brevemente resumido<\/h2>\n\n<p>A mensagem principal \u00e9 a seguinte: <strong>Falha na c\u00f3pia<\/strong> transforma um utilizador comum num administrador com direitos de root num servidor partilhado num curto espa\u00e7o de tempo. Quem gere servidores deve aplicar o patch ao kernel com o commit mencionado, reiniciar o sistema de forma sistem\u00e1tica e bloquear temporariamente os acessos AF_ALG. Os operadores devem, al\u00e9m disso, refor\u00e7ar a seguran\u00e7a atrav\u00e9s de MicroVM\/sandboxing, Seccomp e registos de auditoria rigorosos, para minimizar o impacto de exploits locais. Os clientes devem proteger os acessos, reduzir os in\u00edcios de sess\u00e3o desnecess\u00e1rios e manter as aplica\u00e7\u00f5es atualizadas, para que a execu\u00e7\u00e3o local nem sequer venha a ocorrer. Desta forma, \u00e9 poss\u00edvel classificar o risco de forma realista, o <strong>Superf\u00edcie de ataque<\/strong> reduzir e preservar a integridade da plataforma.<\/p>","protected":false},"excerpt":{"rendered":"<p>A vulnerabilidade \u00abCopy Fail\u00bb no kernel do Linux representa um risco cr\u00edtico para as plataformas de alojamento partilhado. O artigo explica os aspetos t\u00e9cnicos, as formas de ataque e as medidas de prote\u00e7\u00e3o para os operadores.<\/p>","protected":false},"author":1,"featured_media":20069,"comment_status":"","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"inline_featured_image":false,"footnotes":""},"categories":[794],"tags":[],"class_list":["post-20076","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-sicherheit-computer_und_internet"],"acf":[],"_wp_attached_file":null,"_wp_attachment_metadata":null,"litespeed-optimize-size":null,"litespeed-optimize-set":null,"_elementor_source_image_hash":null,"_wp_attachment_image_alt":null,"stockpack_author_name":null,"stockpack_author_url":null,"stockpack_provider":null,"stockpack_image_url":null,"stockpack_license":null,"stockpack_license_url":null,"stockpack_modification":null,"color":null,"original_id":null,"original_url":null,"original_link":null,"unsplash_location":null,"unsplash_sponsor":null,"unsplash_exif":null,"unsplash_attachment_metadata":null,"_elementor_is_screenshot":null,"surfer_file_name":null,"surfer_file_original_url":null,"envato_tk_source_kit":null,"envato_tk_source_index":null,"envato_tk_manifest":null,"envato_tk_folder_name":null,"envato_tk_builder":null,"envato_elements_download_event":null,"_menu_item_type":null,"_menu_item_menu_item_parent":null,"_menu_item_object_id":null,"_menu_item_object":null,"_menu_item_target":null,"_menu_item_classes":null,"_menu_item_xfn":null,"_menu_item_url":null,"_trp_menu_languages":null,"rank_math_primary_category":null,"rank_math_title":null,"inline_featured_image":null,"_yoast_wpseo_primary_category":null,"rank_math_schema_blogposting":null,"rank_math_schema_videoobject":null,"_oembed_049c719bc4a9f89deaead66a7da9fddc":null,"_oembed_time_049c719bc4a9f89deaead66a7da9fddc":null,"_yoast_wpseo_focuskw":null,"_yoast_wpseo_linkdex":null,"_oembed_27e3473bf8bec795fbeb3a9d38489348":null,"_oembed_c3b0f6959478faf92a1f343d8f96b19e":null,"_trp_translated_slug_en_us":null,"_wp_desired_post_slug":null,"_yoast_wpseo_title":null,"tldname":null,"tldpreis":null,"tldrubrik":null,"tldpolicylink":null,"tldsize":null,"tldregistrierungsdauer":null,"tldtransfer":null,"tldwhoisprivacy":null,"tldregistrarchange":null,"tldregistrantchange":null,"tldwhoisupdate":null,"tldnameserverupdate":null,"tlddeletesofort":null,"tlddeleteexpire":null,"tldumlaute":null,"tldrestore":null,"tldsubcategory":null,"tldbildname":null,"tldbildurl":null,"tldclean":null,"tldcategory":null,"tldpolicy":null,"tldbesonderheiten":null,"tld_bedeutung":null,"_oembed_d167040d816d8f94c072940c8009f5f8":null,"_oembed_b0a0fa59ef14f8870da2c63f2027d064":null,"_oembed_4792fa4dfb2a8f09ab950a73b7f313ba":null,"_oembed_33ceb1fe54a8ab775d9410abf699878d":null,"_oembed_fd7014d14d919b45ec004937c0db9335":null,"_oembed_21a029d076783ec3e8042698c351bd7e":null,"_oembed_be5ea8a0c7b18e658f08cc571a909452":null,"_oembed_a9ca7a298b19f9b48ec5914e010294d2":null,"_oembed_f8db6b27d08a2bb1f920e7647808899a":null,"_oembed_168ebde5096e77d8a89326519af9e022":null,"_oembed_cdb76f1b345b42743edfe25481b6f98f":null,"_oembed_87b0613611ae54e86e8864265404b0a1":null,"_oembed_27aa0e5cf3f1bb4bc416a4641a5ac273":null,"_oembed_time_27aa0e5cf3f1bb4bc416a4641a5ac273":null,"_tldname":null,"_tldclean":null,"_tldpreis":null,"_tldcategory":null,"_tldsubcategory":null,"_tldpolicy":null,"_tldpolicylink":null,"_tldsize":null,"_tldregistrierungsdauer":null,"_tldtransfer":null,"_tldwhoisprivacy":null,"_tldregistrarchange":null,"_tldregistrantchange":null,"_tldwhoisupdate":null,"_tldnameserverupdate":null,"_tlddeletesofort":null,"_tlddeleteexpire":null,"_tldumlaute":null,"_tldrestore":null,"_tldbildname":null,"_tldbildurl":null,"_tld_bedeutung":null,"_tldbesonderheiten":null,"_oembed_ad96e4112edb9f8ffa35731d4098bc6b":null,"_oembed_8357e2b8a2575c74ed5978f262a10126":null,"_oembed_3d5fea5103dd0d22ec5d6a33eff7f863":null,"_eael_widget_elements":null,"_oembed_0d8a206f09633e3d62b95a15a4dd0487":null,"_oembed_time_0d8a206f09633e3d62b95a15a4dd0487":null,"_aioseo_description":null,"_eb_attr":null,"_eb_data_table":null,"_oembed_819a879e7da16dd629cfd15a97334c8a":null,"_oembed_time_819a879e7da16dd629cfd15a97334c8a":null,"_acf_changed":null,"_wpcode_auto_insert":null,"_edit_last":null,"_edit_lock":null,"_oembed_e7b913c6c84084ed9702cb4feb012ddd":null,"_oembed_bfde9e10f59a17b85fc8917fa7edf782":null,"_oembed_time_bfde9e10f59a17b85fc8917fa7edf782":null,"_oembed_03514b67990db061d7c4672de26dc514":null,"_oembed_time_03514b67990db061d7c4672de26dc514":null,"rank_math_news_sitemap_robots":null,"rank_math_robots":null,"_eael_post_view_count":"100","_trp_automatically_translated_slug_ru_ru":null,"_trp_automatically_translated_slug_et":null,"_trp_automatically_translated_slug_lv":null,"_trp_automatically_translated_slug_fr_fr":null,"_trp_automatically_translated_slug_en_us":null,"_wp_old_slug":null,"_trp_automatically_translated_slug_da_dk":null,"_trp_automatically_translated_slug_pl_pl":null,"_trp_automatically_translated_slug_es_es":null,"_trp_automatically_translated_slug_hu_hu":null,"_trp_automatically_translated_slug_fi":null,"_trp_automatically_translated_slug_ja":null,"_trp_automatically_translated_slug_lt_lt":null,"_elementor_edit_mode":null,"_elementor_template_type":null,"_elementor_version":null,"_elementor_pro_version":null,"_wp_page_template":null,"_elementor_page_settings":null,"_elementor_data":null,"_elementor_css":null,"_elementor_conditions":null,"_happyaddons_elements_cache":null,"_oembed_75446120c39305f0da0ccd147f6de9cb":null,"_oembed_time_75446120c39305f0da0ccd147f6de9cb":null,"_oembed_3efb2c3e76a18143e7207993a2a6939a":null,"_oembed_time_3efb2c3e76a18143e7207993a2a6939a":null,"_oembed_59808117857ddf57e478a31d79f76e4d":null,"_oembed_time_59808117857ddf57e478a31d79f76e4d":null,"_oembed_965c5b49aa8d22ce37dfb3bde0268600":null,"_oembed_time_965c5b49aa8d22ce37dfb3bde0268600":null,"_oembed_81002f7ee3604f645db4ebcfd1912acf":null,"_oembed_time_81002f7ee3604f645db4ebcfd1912acf":null,"_elementor_screenshot":null,"_oembed_7ea3429961cf98fa85da9747683af827":null,"_oembed_time_7ea3429961cf98fa85da9747683af827":null,"_elementor_controls_usage":null,"_elementor_page_assets":[],"_elementor_screenshot_failed":null,"theplus_transient_widgets":null,"_eael_custom_js":null,"_wp_old_date":null,"_trp_automatically_translated_slug_it_it":null,"_trp_automatically_translated_slug_pt_pt":null,"_trp_automatically_translated_slug_zh_cn":null,"_trp_automatically_translated_slug_nl_nl":null,"_trp_automatically_translated_slug_pt_br":null,"_trp_automatically_translated_slug_sv_se":null,"rank_math_analytic_object_id":null,"rank_math_internal_links_processed":"1","_trp_automatically_translated_slug_ro_ro":null,"_trp_automatically_translated_slug_sk_sk":null,"_trp_automatically_translated_slug_bg_bg":null,"_trp_automatically_translated_slug_sl_si":null,"litespeed_vpi_list":null,"litespeed_vpi_list_mobile":null,"rank_math_seo_score":null,"rank_math_contentai_score":null,"ilj_limitincominglinks":null,"ilj_maxincominglinks":null,"ilj_limitoutgoinglinks":null,"ilj_maxoutgoinglinks":null,"ilj_limitlinksperparagraph":null,"ilj_linksperparagraph":null,"ilj_blacklistdefinition":null,"ilj_linkdefinition":null,"_eb_reusable_block_ids":null,"rank_math_focus_keyword":"Copy Fail","rank_math_og_content_image":null,"_yoast_wpseo_metadesc":null,"_yoast_wpseo_content_score":null,"_yoast_wpseo_focuskeywords":null,"_yoast_wpseo_keywordsynonyms":null,"_yoast_wpseo_estimated-reading-time-minutes":null,"rank_math_description":null,"surfer_last_post_update":null,"surfer_last_post_update_direction":null,"surfer_keywords":null,"surfer_location":null,"surfer_draft_id":null,"surfer_permalink_hash":null,"surfer_scrape_ready":null,"_thumbnail_id":"20069","footnotes":null,"_links":{"self":[{"href":"https:\/\/webhosting.de\/pt\/wp-json\/wp\/v2\/posts\/20076","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/webhosting.de\/pt\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/webhosting.de\/pt\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/webhosting.de\/pt\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/webhosting.de\/pt\/wp-json\/wp\/v2\/comments?post=20076"}],"version-history":[{"count":0,"href":"https:\/\/webhosting.de\/pt\/wp-json\/wp\/v2\/posts\/20076\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/webhosting.de\/pt\/wp-json\/wp\/v2\/media\/20069"}],"wp:attachment":[{"href":"https:\/\/webhosting.de\/pt\/wp-json\/wp\/v2\/media?parent=20076"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/webhosting.de\/pt\/wp-json\/wp\/v2\/categories?post=20076"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/webhosting.de\/pt\/wp-json\/wp\/v2\/tags?post=20076"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}