Category: Security · Kernel Exploitation · Console Hacking
Level: Practitioner
On September 29, a jailbreak called Relapse went public on GitHub, built by a developer going by ntfargo. It chains a memory corruption bug in the PS5's browser engine with a use-after-free race in the kernel, and it works on every firmware from 7.00 to 13.60 — PS5 and PS5 Pro both.
Sony patched the entry point in firmware 14.00, released September 16, two weeks before Relapse shipped publicly. The exploit had clearly existed in private hands before that.
Getting from "visit a web page" to "kernel code execution" on a locked-down console takes two separate bugs, because the browser and the kernel are different trust boundaries.
Stage one lives in JavaScriptCore, the JS engine behind the PS5's browser. A memory corruption bug there gets you arbitrary read/write inside the browser process — enough to build further primitives, not enough to touch the kernel.
Stage two is where the actual escalation happens: a use-after-free race condition in aiomultiwait, the kernel's asynchronous I/O wait syscall. Win the race, and a freed kernel object gets reused in a way the attacker controls. That's kernel read/write, full stop — the ceiling for what a modern console's security model is built to prevent.
The PS5 runs on a FreeBSD 11 base. Every major public PS5 kernel exploit since 2022 has come from a FreeBSD bug, not a Sony-written one.
TheFloW's 2022 disclosure used a use-after-free in FreeBSD's IPv6 socket handling — a bug already fixed upstream on the PS4, but still live in PS5 firmware when he found it. CVE-2024-43102, a UMTX_SHM_DESTROY use-after-free, got weaponized into a separate PS5 kernel exploit the same way. aiomultiwait is the third entry in that pattern: a bug in the operating system Sony built on top of, not in anything Sony wrote for the console itself.
Shipping a console on a general-purpose OS kernel means inheriting that kernel's entire bug history — including bugs nobody was thinking about PlayStation when they patched them.
Firmware 14.10, released October 1, doesn't try to force every console onto the new version before it'll boot. Instead, it ties PlayStation Network access to a minimum firmware version. A console still running Relapse keeps working — single-player, offline, no PSN — but the moment it tries to authenticate online, the version check blocks it.
That's enforcement at the service layer instead of the boot layer, and it's a deliberate trade. Sony doesn't control what firmware is physically running on a console someone's deliberately downgraded and exploited. It does control who gets to talk to PSN. Moving the checkpoint to the thing Sony actually owns is a more defensible line than trying to win a fight over code already running on hardware outside their control.
One developer, Gezine, claims to have partially defeated 14.10's protections — posted footage reportedly showing the hidden debug menu — while also saying a fully updated console will need a hypervisor-level exploit to go further. The PS5 runs a hypervisor between the kernel and the hardware specifically to make kernel access alone insufficient. If that claim holds, the next jailbreak isn't a browser-to-kernel chain anymore — it's a third stage on top of the first two.
Separately, a leak of PS5 BootROM keys at the end of 2025 didn't enable Relapse directly, but it's the kind of compromise that outlives any single firmware patch. BootROM is the first thing that runs, the root of the chain of trust everything else depends on. Patch the kernel bug and you've closed Relapse. You can't patch a leaked key.
Categoria: Segurança · Exploração de Kernel · Hacking de Console
Nível: Praticante
Em 29 de setembro, um jailbreak chamado Relapse foi publicado no GitHub, feito por um desenvolvedor conhecido como ntfargo. Ele encadeia um bug de corrupção de memória no motor do navegador do PS5 com uma race condition de use-after-free no kernel, e funciona em todo firmware de 7.00 a 13.60 — PS5 e PS5 Pro.
A Sony corrigiu o ponto de entrada no firmware 14.00, lançado em 16 de setembro, duas semanas antes do Relapse ser publicado. O exploit claramente já existia em mãos privadas antes disso.
Ir de "visitar uma página web" até "execução de código no kernel" num console travado exige dois bugs separados, porque o navegador e o kernel são fronteiras de confiança diferentes.
A primeira etapa vive no JavaScriptCore, o motor JS por trás do navegador do PS5. Um bug de corrupção de memória ali te dá leitura/escrita arbitrária dentro do processo do navegador — o suficiente pra construir primitivas mais avançadas, mas não o suficiente pra tocar no kernel.
A segunda etapa é onde a escalada de verdade acontece: uma race condition de use-after-free no aiomultiwait, a syscall de espera de I/O assíncrono do kernel. Ganhe a corrida, e um objeto de kernel liberado é reutilizado de um jeito que o atacante controla. Isso é leitura/escrita de kernel, ponto final — o teto do que o modelo de segurança de um console moderno é construído pra impedir.
O PS5 roda sobre uma base FreeBSD 11. Todo exploit de kernel público relevante do PS5 desde 2022 veio de um bug do FreeBSD, não de algo escrito pela Sony.
A divulgação da TheFloW em 2022 usou um use-after-free no tratamento de socket IPv6 do FreeBSD — um bug já corrigido no PS4, mas ainda vivo no firmware do PS5 quando ele achou. O CVE-2024-43102, um use-after-free no UMTX_SHM_DESTROY, virou arma pra outro exploit de kernel do PS5 do mesmo jeito. O aiomultiwait é a terceira entrada nesse padrão: um bug no sistema operacional sobre o qual a Sony construiu, não em nada que a Sony escreveu pro console em si.
Lançar um console sobre um kernel de propósito geral significa herdar todo o histórico de bugs desse kernel — incluindo bugs que ninguém tava pensando em PlayStation quando corrigiu.
O firmware 14.10, lançado em 1º de outubro, não tenta forçar todo console pra nova versão antes de ligar. Em vez disso, amarra o acesso à PlayStation Network a uma versão mínima de firmware. Um console ainda rodando Relapse continua funcionando — single-player, offline, sem PSN — mas no momento em que tenta autenticar online, a checagem de versão bloqueia.
Isso é enforcement na camada de serviço, não na camada de boot, e é uma escolha deliberada. A Sony não controla qual firmware tá fisicamente rodando num console que alguém deliberadamente fez downgrade e explorou. Ela controla quem fala com a PSN. Mover o ponto de checagem pra algo que a Sony realmente possui é uma linha mais defensável do que tentar vencer uma briga sobre código já rodando em hardware fora do controle dela.
Um desenvolvedor, Gezine, afirma ter parcialmente derrotado as proteções do 14.10 — postou um vídeo supostamente mostrando o menu de debug escondido — e também disse que um console totalmente atualizado vai precisar de um exploit no nível do hypervisor pra ir além. O PS5 roda um hypervisor entre o kernel e o hardware especificamente pra que o acesso de kernel sozinho não seja suficiente. Se essa afirmação se confirmar, o próximo jailbreak não é mais uma cadeia navegador-pro-kernel — é uma terceira etapa em cima das duas primeiras.
Separadamente, um vazamento das chaves do BootROM do PS5 no fim de 2025 não habilitou o Relapse diretamente, mas é o tipo de comprometimento que sobrevive a qualquer patch de firmware específico. BootROM é a primeira coisa que roda, a raiz da cadeia de confiança da qual tudo depende. Corrija o bug do kernel e você fechou o Relapse. Você não corrige uma chave vazada.
Relacionado: doctorglitch — PS5 Relapse Jailbreak Explained