Vulnerabilidad crítica en TCP de Linux permite ejecución remota de código sin autenticación

Red Hat ha publicado parches críticos para una grave vulnerabilidad de ejecución remota de código en el kernel de Linux, mientras que Ubuntu ha incluido sus correcciones en un canal de pruebas opcional. El fallo, identificado como CVE-2026-98432, afecta a la implementación IPv4 TCP y tiene una puntuación CVSS de 9,8 sobre 10. Este desarrollo marca un evento de seguridad significativo para los equipos de infraestructura que gestionan servidores Linux en las principales distribuciones.

Qué ocurrió

La vulnerabilidad se origina por un error de uso posterior a la liberación (use-after-free) en la forma en que el kernel de Linux gestiona las conexiones IPv4 TCP. Cuando un servidor acepta una conexión, pasa las opciones IP de la solicitud entrante al nuevo socket sin crear una copia. Si un cliente retransmite la solicitud de conexión mientras otro procesador sigue leyendo esas opciones, el kernel puede acceder a memoria que ya ha sido liberada. Un atacante puede provocar esta condición de carrera enviando solicitudes de conexión con opciones específicas de Registro de Ruta (Record Route) o Marca de Tiempo (Timestamp) de IPv4 a cualquier puerto TCP en escucha. No se requiere autenticación y el vector de ataque es completamente remoto.

Red Hat calificó inicialmente el problema como Moderado con una puntuación de 5,9, pero luego lo elevó a Crítico con 9,8 tras un análisis más profundo. El bug existe en el kernel desde la versión 4.4, aunque la corrección upstream solo se fusionó en octubre. Red Hat envió actualizaciones para RHEL 8, 9 y 10 el 1 de noviembre, requiriendo un reinicio para surtir efecto. Ubuntu anunció el 2 de noviembre que las correcciones para sus versiones LTS 22.04, 24.04 y 26.04 están disponibles en el repositorio -proposed, un canal de pruebas opcional. Canonical declaró que no se ha establecido una fecha de lanzamiento para el canal de actualización regular, ya que continúan probando en más de 2.000 dispositivos certificados.

Cómo funciona

El mecanismo central implica una condición de carrera durante el handshake TCP. Normalmente, cuando llega un paquete TCP, el kernel procesa sus cabeceras y opciones. En esta implementación defectuosa, el kernel hace referencia directamente a las opciones IP del búfer original del paquete en lugar de copiarlas a una ubicación segura y persistente. Si la pila de red procesa concurrentemente una retransmisión del mismo paquete en un núcleo de CPU diferente, el búfer original podría ser liberado o reutilizado antes de que se complete la segunda lectura. Esto permite a un atacante manipular el contenido de la memoria que se está leyendo, lo que potencialmente conduce a la ejecución arbitraria de código con privilegios de root.

IPv6 no se ve afectada en la ruta principal, limitando el alcance al tráfico IPv4. Aunque algunos asesores sugirieron deshabilitar Multipath TCP (MPTCP) como solución temporal, Canonical aclaró que la falla reside en la ruta estándar IPv4 TCP, haciendo irrelevantes las configuraciones de MPTCP para el vector de explotación principal. La única mitigación fiable sigue siendo aplicar el parche del kernel. Red Hat proporcionó una regla nftables interina para descartar paquetes TCP IPv4 entrantes con opciones IP, pero esto puede romper cargas de trabajo legítimas y no previene completamente la explotación, especialmente para el tráfico de contenedores en el mismo host.

Detalles clave

• ID de Vulnerabilidad: CVE-2026-98432, calificado con 9,8/10 por el equipo de CVE del kernel de Linux.
• Sistemas Afectados: Kernels de Linux desde la versión 4.4; impacta específicamente a RHEL 8, 9, 10 y Ubuntu 22.04, 24.04, 26.04 LTS.
• Vector de Ataque: Atacante remoto sin autenticación que envía paquetes TCP IPv4 con opciones Record Route o Timestamp.
• Corrección de Red Hat: Disponible mediante RHSA-2026:93414, RHSA-2026:93412 y RHSA-2026:93413; requiere reinicio.
• Estado de Ubuntu: Correcciones en el canal -proposed; las versiones LTS anteriores (20.04, 18.04, 16.04) aún no tienen corrección sin Ubuntu Pro.
• Estado de Explotación: No se han reportado exploits salvajes, pero el modelo de IA interno de Anthropic generó un exploit funcional de root en pruebas de concepto.

Por qué importa

Para ingenieros de software y líderes de TI, esta vulnerabilidad representa un riesgo de alta severidad porque no requiere interacción del usuario ni credenciales. Cualquier servidor Linux expuesto públicamente que ejecute un kernel sin parchear es potencialmente vulnerable a la compromisión total del sistema. El hecho de que un modelo de IA pudiera generar un exploit funcional destaca la velocidad acelerada a la que las vulnerabilidades teóricas pueden convertirse en amenazas prácticas. Aunque Anthropic no publicó el código, la existencia de tal herramienta sugiere que atacantes motivados podrían desarrollar capacidades similares rápidamente.

La disparidad en la disponibilidad de parches entre Red Hat y Ubuntu también crea desafíos operativos. Los usuarios de Red Hat pueden aplicar correcciones inmediatamente, mientras que los usuarios de Ubuntu deben decidir si habilitar el canal -proposed, que conlleva un mayor riesgo de inestabilidad debido a pruebas menos extensas. Los equipos que gestionan entornos mixtos deben coordinar reinicios y verificar cuidadosamente las versiones del kernel. La mitigación interina usando nftables es imperfecta y puede interrumpir diagnósticos de red o comportamientos específicos de aplicaciones que dependen de opciones IP, forzando un equilibrio entre seguridad y funcionalidad hasta que los parches oficiales se desplieguen ampliamente.

Qué puedes hacer

• Comprueba tu versión actual del kernel usando uname -r y compárala con las versiones corregidas listadas en los avisos del proveedor.
• Para sistemas RHEL, aplica las últimas erratas (RHSA-2026:93414, 93412 o 93413) y programa un reinicio.
• Para sistemas Ubuntu LTS, considera habilitar el repositorio -proposed si se requiere protección inmediata, siguiendo los comandos específicos de Canonical.
• Implementa la regla nftables de Red Hat como medida temporal si no puedes parchear inmediatamente, pero monitoriza posibles cortes de conectividad.
• Verifica que tus reglas de firewall no permitan inadvertidamente paquetes TCP IPv4 con opciones IP inusuales procedentes de fuentes no confiables.
• Planifica reinicios obligatorios en toda tu infraestructura, ya que las actualizaciones del kernel para este fallo no pueden aplicarse en vivo sin un reinicio.