Fallo crítico en el kernel de Linux: Red Hat ya tiene parche y Ubuntu aún no
- Un fallo del código TCP de IPv4 del kernel de Linux (CVE-2026-98432) puede permitir, sin identificarse y desde la red, leer memoria ya liberada. Red Hat y Canonical advierten de que puede acabar en ejecución remota de código.
- El equipo de CVE del kernel lo puntúa con 9,8 sobre 10. Red Hat lo había valorado en 5,9 y lo subió a crítico. El fallo está presente desde Linux 4.4.
- Red Hat ya publicó parches (requieren reiniciar). Los de Ubuntu están todavía en un repositorio de pruebas. De momento nadie ha informado de ataques.
Una vulnerabilidad en la forma en que el kernel de Linux gestiona las conexiones TCP sobre IPv4 ha pasado de considerarse un problema moderado a uno crítico. Se trata del fallo CVE-2026-98432, un «uso tras liberación» de memoria: cuando un servidor acepta una conexión, el kernel pasa las opciones IP de la petición al nuevo socket sin copiarlas, y si el cliente retransmite mientras otro procesador sigue leyéndolas, el kernel puede acabar leyendo memoria que ya se ha liberado.
A quién afecta
El código defectuoso está en el kernel desde la versión 4.4, así que afecta a un abanico enorme de servidores. Para aprovecharlo basta con enviar conexiones con ciertas opciones IPv4 (Record Route o Timestamp) a cualquier puerto TCP en escucha, sin necesidad de identificarse. IPv6 no se ve afectado por la ruta principal. La puntuación no es unánime: el equipo del kernel le da 9,8 y Red Hat lo subió de 5,9 a 9,8, mientras que Amazon Linux lo valora en 8,1 y habla sobre todo de caídas del sistema con posible corrupción de memoria.
Qué parches existen
- Red Hat publicó el 1 de noviembre kernels corregidos para RHEL 8.10, 9.8 y 10.2. Hay que reiniciar el equipo para que apliquen.
- Debian, Oracle Linux y SUSE lanzaron correcciones en octubre, y Amazon Linux entre el 24 y el 30 de ese mes.
- Ubuntu tiene los kernels corregidos de 22.04, 24.04 y 26.04 en el repositorio opcional -proposed, que no se instala solo. Las versiones más antiguas aún están pendientes y requieren Ubuntu Pro.
Si no puedes actualizar ya
Red Hat publicó una regla de nftables que descarta los paquetes IPv4 con opciones IP. Bloquea el disparador conocido, pero no impide del todo la explotación y puede romper aplicaciones que dependan de esas opciones. Además solo protege el equipo donde se carga. Canonical insiste en que la única mitigación adecuada es instalar la actualización.
¿Hay ataques?
Ningún fabricante ni organismo ha informado de explotación real y el fallo no figuraba en el catálogo de la CISA a fecha de 30 de octubre. Anthropic dijo el 27 de octubre que un modelo interno de investigación, aún sin publicar, había escrito un exploit de acceso root para servidores con un tipo concreto de escucha (MPTCP); ese código no se ha divulgado.
Qué conviene hacer
- Revisa qué distribución y kernel usan tus servidores, NAS y máquinas virtuales Linux.
- Instala el kernel corregido y reinicia en una ventana planificada; sin reinicio, el parche no cuenta.
- En Ubuntu, valora activar el repositorio de pruebas solo si no puedes esperar, y hazlo primero en un equipo no crítico.
- Si un servidor no puede actualizarse, limita desde el cortafuegos qué puertos son accesibles desde fuera.
¿Tienes servidores Linux sin revisar?
Comprobamos qué versión de kernel usan tus servidores y los dejamos actualizados, con el reinicio planificado para que no te pille en horario de trabajo.
Infórmate