Se você tem um PC ou notebook com processador Ryzen, essa notícia merece atenção. A AMD confirmou oficialmente duas vulnerabilidades que afetam o fTPM (Firmware TPM) dos seus chips — o componente responsável por guardar chaves de segurança, senhas e credenciais de forma protegida dentro do processador. As falhas já têm nome, nota de gravidade alta e correção disponível, mas a lista de processadores afetados é gigantesca e vai desde modelos de 2019 até os lançamentos mais recentes.
Neste artigo, você vai entender o que são as falhas CVE-2026-6726 e CVE-2026-6727, quais linhas de Ryzen estão na lista de afetados, se a correção já chegou na sua placa-mãe e por que até a Intel aparece nessa história.
O que é o TPM e por que essa falha importa
Antes de entrar nos detalhes técnicos, vale entender o que está em jogo. O TPM (Trusted Platform Module) é um “cofre” dentro do seu computador, responsável por guardar chaves criptográficas usadas em recursos como o BitLocker do Windows, login por biometria e verificação de integridade do sistema.
Em processadores AMD, esse cofre normalmente roda como fTPM, ou seja, implementado em firmware dentro do próprio chip, em vez de um componente físico separado na placa-mãe. É justamente esse firmware que apresenta as vulnerabilidades agora confirmadas.
As duas falhas: CVE-2026-6726 e CVE-2026-6727
A AMD publicou o boletim oficial AMD-SB-7064 detalhando os dois problemas, ambos classificados como severidade alta na escala CVSS 4.0:
| CVE | O QUE FAZ | NOTA CVSS |
|---|---|---|
| CVE-2026-6726 | Vazamento de informação que pode permitir a um atacante obter credenciais e forjar uma chave TPM falsa (como uma chave de atestação, DevID ou TLS) | 8.5 |
| CVE-2026-6727 | Canal lateral de tempo na decifragem RSA, capaz de expor dados sigilosos protegidos pela chave principal do TPM | 8.3 |
Na prática, o risco mais sério é a possibilidade de forjar atestações do TPM — ou seja, fazer um sistema comprometido parecer confiável para serviços que dependem dessa verificação, como acesso corporativo condicional ou validação de identidade de hardware.
A boa notícia é que explorar essas falhas não é trivial: é preciso ter acesso local privilegiado à máquina, o que reduz bastante o alcance prático do ataque para o usuário comum.
A falha não nasceu na AMD
Um detalhe importante: o próprio boletim da AMD marca as duas vulnerabilidades como “non-AMD”. Elas estão no código de referência do TPM 2.0 mantido pelo Trusted Computing Group (TCG), o consórcio que define o padrão usado por praticamente toda a indústria.
Isso significa que qualquer fabricante cujo firmware TPM derive desse código de referência pode estar exposto — e não é coincidência que a Intel também apareça na lista de afetados, como você vai ver mais adiante.
Quais processadores Ryzen estão na lista
A lista de afetados é bem extensa e cobre praticamente todo o portfólio recente da AMD:
- Desktop: Ryzen 3000, 4000, 5000, 7000, 8000 e 9000
- Notebook: Ryzen 3000 ao 7000 (incluindo variações 7020 a 7045), 8040 e 9000HX
- Ryzen AI: Ryzen AI 300, Ryzen AI 400 e Ryzen AI Max 300
- HEDT/Workstation: Threadripper 7000 e Threadripper PRO 3000, 5000 e 7000 WX
- Portáteis: Ryzen Z1 e Ryzen Z2 (usados em handhelds como ROG Ally e Legion Go)
- Servidor: linhas EPYC 4004, 4005 e EPYC Embedded
Ou seja: se o seu processador foi lançado a partir de 2019, é bem provável que ele esteja no escopo do boletim.
A correção já existe — e pode já estar na sua BIOS
Aqui vai o alívio: a AMD já distribuiu as correções aos fabricantes de placas-mãe desde maio, meses antes do anúncio público na terça-feira (11). As atualizações chegam embutidas no AGESA, o firmware que a AMD entrega aos parceiros e que depois é incorporado à BIOS de cada placa.
Algumas datas de referência:
- Ryzen 7000/8000/9000 (AM5): ComboAM5PI 1.3.0.1b, liberado em 21/05
- Ryzen 3000 desktop: ComboAM4PI 1.0.0.11, liberado em 18/05
- Ryzen 4000/5000 desktop: ComboAM4v2PI 1.2.0.12, liberado em 27/05
- Threadripper 7000: StormPeakPI-SP6 1.1.0.0l, liberado em 11/05
As versões mais recentes de AM5 já circulam em BIOS de varejo desde junho e julho nas principais fabricantes. O problema é que essa distribuição nunca é simultânea — placas topo de linha costumam receber a atualização primeiro, enquanto modelos de entrada podem demorar semanas a mais.
Como saber se a sua BIOS já está protegida
Para confirmar, você precisa:
- Verificar a versão de AGESA listada no changelog da BIOS atual da sua placa-mãe (geralmente disponível no site do fabricante).
- Comparar essa versão com a tabela de firmwares corrigidos divulgada pela AMD para a sua linha de processador.
- Se a sua BIOS estiver desatualizada, baixar e instalar a versão mais recente disponibilizada pelo fabricante.
Vale lembrar: atualizar o Windows não resolve isso. A camada afetada fica abaixo do sistema operacional, então sem atualizar a BIOS o fTPM continua rodando o código vulnerável, mesmo com o Windows em dia.
Ryzen AI e o processador Pluton: correção parcial por enquanto
Um ponto de atenção para quem tem notebooks ou mini PCs com Ryzen AI 300, Ryzen AI 400 ou Ryzen AI Max 300: os firmwares já disponíveis corrigem apenas o fTPM. A correção para o Pluton — processador de segurança desenvolvido pela Microsoft em parceria com AMD, Intel e Qualcomm — só estava prevista para agosto de 2026.
Nas plataformas em que o Pluton assume o papel de TPM principal, a correção do fTPM sozinha não resolve completamente o problema.
Por que a Intel também está envolvida
A descoberta das falhas partiu de quatro pesquisadores da própria Intel, que reportaram o problema ao Trusted Computing Group. E, como as vulnerabilidades estão no código de referência do TPM 2.0, a Intel também consta como afetada no relatório do CERT/CC — no mesmo status da AMD.
Outros fornecedores notificados ainda têm situação desconhecida em relação ao impacto, incluindo Microsoft, Dell, Lenovo, HP, NVIDIA e Qualcomm, o que sugere que essa lista de fabricantes afetados por falhas de firmware derivadas desse mesmo código pode crescer nas próximas semanas.
Isso já tinha acontecido antes
Essa não é a primeira vez que a AMD lida com um problema desse tipo. Em 2025, o boletim AMD-SB-4011 já havia tratado de outra falha semelhante no mesmo código de referência do TCG, corrigida via AGESA 1.2.0.3e — mas com nota de gravidade bem mais baixa (6.6). O caso atual traz índices mais altos e afeta um número consideravelmente maior de processadores.
O que fazer agora
Resumindo o que você precisa fazer para se proteger:
- Verifique o site do fabricante da sua placa-mãe (ou notebook) e confira se há uma atualização de BIOS recente disponível.
- Compare a versão de AGESA instalada com a tabela de firmwares corrigidos para a sua linha de Ryzen.
- Atualize a BIOS seguindo sempre as instruções oficiais do fabricante — é um processo que exige cuidado, então não pule etapas.
- Se você usa notebook ou mini PC com Ryzen AI, fique de olho em uma nova atualização prevista para cobrir também o Pluton.
O ponto principal é este: como o ataque exige acesso privilegiado à máquina, o risco para o usuário comum é baixo no dia a dia. Mesmo assim, manter a BIOS atualizada é uma boa prática de segurança que vale a pena adotar — principalmente se o seu PC lida com dados sensíveis ou está em um ambiente corporativo.
