Pesquisadores avisaram a Cloudflare, empresa de infraestrutura de internet dos Estados Unidos, sobre uma falha nos produtos Containers e Sandboxes em 4 de setembro de 2026. A análise pública saiu em 24 de setembro. Em teste controlado, eles leram fragmentos de disco deixados por cargas de trabalho de outro cliente no mesmo servidor físico.
O relato traz datas para cada etapa. Ele registra quando o problema chegou, quando a correção terminou e quando a limpeza do que já existia foi concluída. Esses três marcos formam uma régua que o comprador de serviço compartilhado pode exigir no próximo aviso que receber.
O resíduo aparecia no reaproveitamento do bloco
O disco gravável de cada container recebia espaço conforme o uso, em alocação sob demanda. A remoção de um volume devolvia seus blocos físicos a um estoque comum, usado por ambientes de clientes diferentes. A configuração afetada entregava esses blocos ao próximo volume sem zerar o conteúdo.
Cada bloco físico media 64 KiB. Uma gravação alinhada de 4 KiB bastava para o sistema reservar um desses blocos vindos do estoque. Apenas aquela fração recebia conteúdo novo, e os 60 KiB restantes podiam guardar bytes do ocupante anterior. Uma leitura do dispositivo bruto exibia material que a nova carga de trabalho jamais havia escrito.
O que o teste provou e o que ficou fora dele
Em 18 das 24 alocações testadas, e em 20 dos 22 nós subjacentes espalhados por quatro continentes, os pesquisadores encontraram material residual. O conteúdo recuperado incluía estruturas de diretório, páginas de banco de dados e bancos SQLite estruturalmente completos.
A demonstração atravessou a fronteira entre ambientes dentro de um cenário controlado. Ela deixava o alvo nas mãos do sistema, sem permitir escolha de cliente, carga de trabalho, servidor ou dado, e sem garantir resíduo no bloco sorteado. O relato acrescenta que a técnica não alcançava um disco anexado em uso. Os pesquisadores não demonstraram alteração de dado ativo de outro cliente nem efeito sobre a disponibilidade das cargas de trabalho.
O texto também registra o cuidado da validação. Segundo a Cloudflare, o material enviado para análise ficou sem valores recuperados e sem identificadores de terceiros. Os pesquisadores informaram que os dados sob o controle deles permaneceram confidenciais e foram apagados de forma segura depois do envio. O relato não descreve verificação independente desse apagamento.
A Cloudflare afirmou que não encontrou evidência de comprometimento de dados de clientes nem de exploração maliciosa. A busca usou a telemetria histórica de leitura e escrita de disco disponível, procurando o padrão observado no teste. A atividade compatível com a técnica apareceu atribuída aos pesquisadores e à engenharia interna durante a validação autorizada. Três estados coexistem no caso: falha confirmada, exploração demonstrada em laboratório e ausência de evidência de abuso dentro do alcance dessa telemetria.
Três datas organizam a remediação
O cronograma público começa em 4 de setembro, dia do aviso e do início da implantação da correção. A mudança principal, que restabeleceu a limpeza do bloco antes da entrega, terminou em 7 de setembro. A limpeza dos snapshots criados antes da mitigação terminou em 19 de setembro.
A distância entre o segundo e o terceiro marco é a parte instrutiva. Corrigir a regra resolve o que vem depois dela. Volumes em execução, caches de imagem e snapshots preparados antes da mudança continuavam carregando mapeamentos antigos, e a empresa precisou retirar discos, limpar caches e recriar recursos com alocação zerada. Segundo a Cloudflare, o cliente do serviço podia manter a própria configuração sem alteração.
Um pedido de evidência com data
Uma revisão de fornecedor ganha precisão quando pede fato datado no lugar de descrição de arquitetura. Seis itens cobrem bem o assunto:
- Data do aviso, data da correção concluída e data do fim da varredura do estado anterior.
- Inventário dos objetos que guardam estado criado antes da correção, com volume ativo, snapshot, cache de imagem, réplica e backup.
- Critério usado para declarar a frota limpa, com a contagem que sustenta a conclusão.
- Telemetria disponível para busca retroativa, com a janela de retenção em dias.
- Identificação de quem validou a correção e sob qual autorização.
- Separação explícita, no texto do aviso, entre o que foi corrigido e o que permanece como ausência de evidência.
Leitura NowCy: isolamento é propriedade do ciclo do recurso
Certificação e diagrama ajudam na governança. Nenhum dos dois mostra o comportamento do armazenamento no instante em que um recurso troca de dono. A NowCy trata isolamento como propriedade do ciclo inteiro. Ele nasce na alocação e precisa sobreviver ao descarte. Ele só conta como verificado quando o fornecedor informa a data em que o estado antigo saiu de circulação.
Isso muda duas decisões em serviço compartilhado. A primeira é onde a carga sensível roda. Dado regulado pede infraestrutura dedicada ao cliente ou cifragem sob chave do próprio cliente, porque nenhuma das duas depende da limpeza do bloco pelo provedor. A segunda é o que entra no contrato. A cláusula pede marco datado de correção e de varredura do estado anterior, junto com a janela de retenção da telemetria que sustenta essa busca.
Fontes e limites
Fonte primária: relato técnico publicado pela Cloudflare em 24 de setembro de 2026. Consulta em 19 de outubro de 2026, sem nota de correção nem mudança de estado acrescentada ao relato desde a publicação.
O documento descreve teste controlado e validação autorizada, com alvo definido pelo sistema e sem garantia de encontrar resíduo. A empresa declarou a correção aplicada na frota, dispensou mudança de configuração do cliente e informou ausência de evidência de abuso na telemetria histórica examinada. Essas afirmações valem dentro do alcance dessa telemetria e do período que ela cobre. A falha permanece como vulnerabilidade demonstrada, sem relato de ataque real.