A AMD confirmou duas vulnerabilidades de alta severidade relacionadas ao Firmware TPM (fTPM) presente em uma ampla variedade de processadores Ryzen. Identificadas como CVE-2026-6726 e CVE-2026-6727, as falhas podem permitir o acesso indevido a informações protegidas pelo TPM e comprometer mecanismos usados para comprovar a integridade de um computador.
As vulnerabilidades receberam notas 8,5 e 8,3, respectivamente, no sistema CVSS 4.0. Apesar da classificação elevada, a exploração exige acesso local privilegiado ao sistema, o que limita as possibilidades de ataques remotos convencionais.
A AMD publicou o boletim de segurança AMD-SB-7064 em 11 de agosto de 2026. No entanto, as correções já haviam sido disponibilizadas aos fabricantes de placas-mãe e computadores meses antes. Em alguns casos, os firmwares corrigidos começaram a chegar às BIOS de varejo durante junho e julho.
Falhas estão relacionadas ao código de referência do TPM 2.0
As vulnerabilidades não foram originadas diretamente no desenvolvimento dos processadores AMD. O problema está no código de referência do TPM 2.0 mantido pelo Trusted Computing Group (TCG), organização responsável pelas especificações e pela implementação de referência da tecnologia.
Isso significa que o problema pode atingir diferentes tipos de TPM que utilizem esse código como base. A categoria inclui módulos físicos, soluções integradas ao processador, implementações de firmware e determinadas soluções utilizadas em ambientes virtualizados.
No caso da AMD, o componente afetado é o fTPM, utilizado por diversas gerações de processadores Ryzen.
De acordo com a descrição da fabricante, as vulnerabilidades estão relacionadas a operações de leitura fora dos limites de memória. Um aplicativo com os privilégios necessários pode enviar comandos específicos ao TPM e provocar o acesso a informações armazenadas no componente ou interferir em sua operação.
O que as vulnerabilidades podem permitir
As duas falhas apresentam mecanismos diferentes de exploração.
A CVE-2026-6726 está associada a um vazamento de informações que pode permitir a obtenção de credenciais utilizadas por determinadas chaves TPM. Entre os exemplos estão chaves de atestação, DevID e chaves TLS.
Já a CVE-2026-6727 envolve um canal lateral baseado em análise de tempo durante operações de descriptografia RSA OAEP. Esse método pode expor informações criptografadas relacionadas a elementos utilizados pelo TPM.
Um dos pontos mais sensíveis é a possibilidade de criação de atestações TPM 2.0 falsificadas. A atestação é utilizada para demonstrar a um serviço remoto que determinado dispositivo está operando com uma configuração considerada confiável.
Esse mecanismo é importante em ambientes corporativos, sistemas de autenticação, controle de acesso e processos de verificação da identidade do hardware.
Quais processadores Ryzen estão afetados?
A lista divulgada pela AMD é extensa e inclui produtos lançados ao longo de várias gerações. O problema alcança computadores de mesa, notebooks, estações de trabalho, dispositivos portáteis, sistemas embarcados e determinados processadores para servidores.
Entre as famílias de desktop afetadas estão:
- Ryzen 3000
- Ryzen 4000
- Ryzen 5000
- Ryzen 7000
- Ryzen 8000
- Ryzen 9000
No mercado de notebooks, aparecem diversas linhas Ryzen 3000, 4000, 5000, 6000, 7020, 7030, 7035, 7040, 7045, 8040 e 9000HX.
Também estão incluídas gerações recentes da família Ryzen AI, como Ryzen AI 300, Ryzen AI 400 e Ryzen AI Max 300.
A relação ainda contempla Threadripper 7000 e modelos Threadripper PRO das séries 3000, 5000 e 7000 WX. Nos dispositivos portáteis, os Ryzen Z1 e Z2 também fazem parte do grupo afetado.
A lista se estende às famílias Ryzen Embedded e a determinados modelos EPYC, incluindo EPYC 4004, EPYC 4005 e versões Embedded 2005 e 4005.
Ryzen Z1 e Z2 também estão na lista
A presença dos Ryzen Z1 e Z2 é especialmente relevante para usuários de consoles portáteis baseados em Windows.
Esses processadores são utilizados em equipamentos como o ROG Ally e o Legion Go. A vulnerabilidade, porém, não significa que esses dispositivos possam ser comprometidos automaticamente por qualquer aplicativo.
A exploração depende de condições específicas, incluindo acesso privilegiado à interface do TPM. Ainda assim, usuários desses equipamentos devem manter BIOS e firmware atualizados quando novas versões estiverem disponíveis.
AMD já havia distribuído as correções
Embora o anúncio público tenha ocorrido em agosto, a AMD vinha trabalhando nas correções desde meses antes.
Os patches são distribuídos por meio do firmware de inicialização da plataforma, que posteriormente é incorporado pelos fabricantes às atualizações de BIOS e UEFI.
Algumas das versões disponibilizadas aos fabricantes incluem:
| Plataforma | Firmware corrigido | Disponibilização aos fabricantes |
|---|---|---|
| Threadripper 7000 | StormPeakPI-SP6 1.1.0.0l | 11 de maio de 2026 |
| Ryzen 3000 desktop | ComboAM4PI 1.0.0.11 | 18 de maio de 2026 |
| Ryzen 7000, 8000 e 9000 | ComboAM5PI 1.3.0.1b | 21 de maio de 2026 |
| Ryzen Z2 | StrixKrackanPI-FP8 1.1.0.0g | 26 de maio de 2026 |
| Ryzen 4000 e 5000 desktop | ComboAM4v2PI 1.2.0.12 | 27 de maio de 2026 |
| Ryzen 7000, 8000 e 9000 | ComboAM5PI 1.2.0.3k | 31 de maio de 2026 |
| Ryzen Z1 | PhoenixPI-FP8-FP7 1.2.0.0h | 1º de junho de 2026 |
A disponibilidade para o consumidor final depende de cada fabricante. Por isso, duas placas-mãe utilizando o mesmo processador podem receber a atualização em momentos diferentes.
Fabricantes normalmente disponibilizam os novos firmwares gradualmente, começando por determinados modelos e expandindo posteriormente para outras placas.
Como saber se o seu PC recebeu a correção?
O procedimento mais importante para o usuário é verificar se existe uma BIOS mais recente para sua placa-mãe ou notebook.
No caso dos computadores de mesa, é necessário acessar a página de suporte do fabricante da placa-mãe e conferir o changelog das versões disponíveis. Informações relacionadas ao AGESA ajudam a identificar se a correção correspondente ao processador está presente.
Não basta instalar uma atualização comum do Windows. Como o problema está relacionado ao firmware do TPM, a correção precisa ser incorporada ao firmware da plataforma e distribuída pelo fabricante do equipamento.
Por isso, quem utiliza um processador Ryzen afetado deve verificar:
- O modelo exato do processador.
- A versão atual da BIOS/UEFI.
- A versão de AGESA utilizada pelo firmware.
- As notas da versão mais recente disponibilizada pelo fabricante.
- Se existe uma atualização que mencione a correção de vulnerabilidades relacionadas ao fTPM.
É importante seguir as instruções do fabricante durante o processo de atualização da BIOS, já que uma interrupção durante a gravação do firmware pode impedir o funcionamento normal da placa-mãe.
Ryzen AI possui uma particularidade
Nas famílias mais recentes Ryzen AI 300, Ryzen AI 400 e Ryzen AI Max 300 existe uma diferença importante.
As versões de firmware já disponibilizadas corrigem a vulnerabilidade relacionada ao fTPM. Entretanto, a AMD indicou que as mitigações relacionadas ao Microsoft Pluton estavam previstas para agosto de 2026.
O Pluton é uma tecnologia de segurança desenvolvida pela Microsoft em colaboração com fabricantes de processadores. Ele funciona como uma raiz de confiança integrada à plataforma e pode assumir funções tradicionalmente associadas ao TPM.
Por esse motivo, em equipamentos que utilizam o Pluton como parte da arquitetura de segurança, uma atualização que corrija apenas o fTPM pode não representar a solução completa.
Intel também está envolvida no caso
Apesar de a vulnerabilidade ter chamado atenção por atingir uma grande quantidade de processadores Ryzen, a AMD não foi a única empresa afetada.
A descoberta foi realizada por pesquisadores da Intel, que identificaram o problema no código de referência do TPM e comunicaram a vulnerabilidade ao grupo responsável pela coordenação do processo.
A Intel também aparece entre as empresas consideradas afetadas pelas duas vulnerabilidades.
Isso reforça que a origem do problema está no código de referência do TPM 2.0, e não em uma característica exclusiva da arquitetura dos processadores Ryzen.
Outros fabricantes e fornecedores foram notificados durante o processo de divulgação coordenada. Para algumas empresas, a situação ainda não havia sido determinada no momento da publicação dos avisos.
Não é o primeiro problema envolvendo o mesmo código
A situação também lembra uma vulnerabilidade anterior enfrentada pela AMD.
Em 2025, a empresa corrigiu a CVE-2025-2884, também relacionada a uma leitura fora dos limites no mesmo código de referência do TPM. Na ocasião, a falha recebeu nota 6,6 no CVSS 3.1 e a correção foi incorporada ao AGESA 1.2.0.3e.
O caso atual possui classificação de severidade maior e alcança uma quantidade mais ampla de produtos.
As duas novas vulnerabilidades também foram incluídas no pacote de atualizações de segurança da Microsoft de agosto de 2026 como problemas de terceiros relacionados ao TPM 2.0.
Atualizar a BIOS é fundamental
Para a maioria dos usuários domésticos, o risco prático de exploração é reduzido pelas exigências necessárias para executar o ataque. Isso não significa, porém, que a vulnerabilidade deva ser ignorada.
O fTPM é uma parte importante da infraestrutura de segurança dos computadores modernos. Ele pode participar de mecanismos utilizados pelo Windows e por outros serviços para armazenar chaves, validar a integridade do dispositivo e oferecer recursos de autenticação.
Como a correção está no firmware, manter o sistema operacional atualizado não é suficiente. A atualização precisa chegar à BIOS ou UEFI do computador.
Quem possui um Ryzen das gerações afetadas deve consultar o suporte da fabricante da placa-mãe, notebook ou equipamento e instalar a versão de BIOS recomendada quando ela estiver disponível.
A principal recomendação é evitar versões não oficiais de firmware e realizar o procedimento utilizando exclusivamente os arquivos fornecidos pelo fabricante do equipamento.
O que você precisa saber
As vulnerabilidades CVE-2026-6726 e CVE-2026-6727 afetam o fTPM baseado no código de referência do TPM 2.0. A AMD classificou os dois problemas como de alta severidade, com notas 8,5 e 8,3 no CVSS 4.0.
A exploração exige condições específicas e privilégios locais, mas pode resultar em vazamento de informações e, em determinados cenários, comprometer mecanismos de atestação do TPM.
As correções já foram distribuídas aos fabricantes desde maio e chegaram gradualmente às atualizações de BIOS. Portanto, usuários de Ryzen devem verificar a versão mais recente do firmware disponível para seus equipamentos.
A atualização da BIOS é o caminho necessário para aplicar a correção. Atualizar somente o Windows não substitui o patch de firmware.
Fontes consultadas: AMD, CERT/CC e Trusted Computing Group.
