Vulnerabilidad crítica de TCP en Linux CVE-2026-98432 requiere parche inmediato

Los kernels estables de Linux recibieron una corrección de seguridad crítica a mediados de octubre de 2026 para CVE-2026-98432, una vulnerabilidad de uso tras liberación (use-after-free) en el protocolo de enlace TCP IPv4. Este fallo permite que un atacante remoto sin autenticación ejecute código arbitrario con privilegios de root en los servidores afectados. Aunque los mantenedores upstream han resuelto el problema, muchas distribuciones empresariales importantes siguen siendo vulnerables a finales de octubre.

Qué ocurrió

La comunidad del kernel de Linux asignó a CVE-2026-98432 una puntuación CVSS 3.1 de 9.8, clasificándola como Crítica. La vulnerabilidad existe en la ruta de código que gestiona las conexiones TCP IPv4 entrantes, específicamente durante el protocolo de enlace inicial antes de que se produzca cualquier autenticación a nivel de aplicación. El error fue reportado por Xinyang Ge de Anthropic y corregido por Eric Dumazet, con la revisión del parche a cargo de Kuniyuki Iwashima.

Los kernels estables upstream incluyeron la corrección entre el 11 y el 15 de octubre de 2026. Las versiones afectadas incluyen ramas de soporte a largo plazo como 5.10, 5.15, 6.1, 6.6 y 6.12, así como lanzamientos mainline más recientes. La vulnerabilidad se remonta a Linux 4.4, lo que significa que casi todos los servidores Linux activos están potencialmente expuestos si no han recibido el parche específico. Las ramas que alcanzaron el fin de vida útil antes de la versión 5.10 no tienen una corrección upstream y dependen completamente de backports específicos de cada distribución.

A pesar de la disponibilidad de correcciones upstream, el estado de despliegue en las principales distribuciones es desigual. A 31 de octubre de 2026, el rastreador de seguridad de Ubuntu lista todas las versiones como "Vulnerable", con correcciones aún en progreso para las versiones recientes. Red Hat Enterprise Linux (RHEL) 8, 9 y 10 también figuran como afectadas sin corrección disponible, aunque Red Hat ha elevado su calificación de severidad a Crítica. AlmaLinux tiene kernels corregidos en fase de pruebas, mientras que Debian, SUSE, Oracle y Amazon Linux ya han publicado parches para sus versiones soportadas.

Cómo funciona

La vulnerabilidad surge de una condición de carrera (race condition) en cómo el kernel gestiona la memoria para las opciones de conexión TCP. Cuando un servidor acepta una conexión TCP, crea un "socket de solicitud" ligero para rastrear el protocolo de enlace medio abierto. Si el cliente que se conecta incluye opciones en la cabecera IPv4, el kernel las almacena para reenviarlas en respuestas posteriores. El error ocurre porque el kernel pasa estos punteros de opciones al nuevo socket completo sin copiar los datos, y luego libera inmediatamente la memoria del socket de solicitud original.

Si otro núcleo de CPU sigue leyendo esas opciones para construir una respuesta mientras se libera la memoria, se produce una condición de uso tras liberación. Esto puede llevar a la divulgación de memoria del heap del kernel, corrupción de memoria o un bloqueo del sistema. Los investigadores de Anthropic demostraron que esta condición de carrera puede explotarse para lograr la ejecución remota de código. Cabe destacar que su prueba de concepto de exploit apuntaba a servidores con listeners Multipath TCP (MPTCP), que están habilitados por defecto en programas Go a partir de la versión 1.24. Sin embargo, el error subyacente no es exclusivo de MPTCP, y otras configuraciones también pueden ser vulnerables.

La corrección es mínima, consistente en un cambio de cuatro líneas que sustituye las llamadas estándar de liberación de memoria por kfree_rcu(). Esta función garantiza que la memoria solo se libere después de que todos los lectores hayan terminado de acceder a ella, previniendo la condición de carrera. El parche también aborda problemas similares en las rutas de migración de sockets de solicitud.

Detalles clave

• Identificador CVE: CVE-2026-98432, puntuado como 9.8 Crítico por la CNA del kernel de Linux.
• Tipo de Vulnerabilidad: Uso tras liberación (use-after-free) en el manejo de opciones del protocolo de enlace TCP IPv4.
• Sistemas Afectados: Kernels Linux desde la versión 4.4 en adelante que aceptan conexiones TCP IPv4.
• Estado del Exploit: Existe un exploit funcional de acceso remoto como root para servidores con listeners MPTCP, desarrollado por Anthropic.
• Estado de las Distribuciones: Corregido en Debian, SUSE, Oracle y Amazon Linux; pendiente para Ubuntu y RHEL a fecha de 31 de octubre de 2026.
• Mitigación: El filtrado a nivel de red de paquetes IPv4 con opciones puede reducir la exposición hasta que se apliquen los parches.

Por qué importa

Para ingenieros de infraestructura y equipos de plataforma, esta vulnerabilidad representa un escenario de alto riesgo porque no requiere autenticación y opera a nivel de la pila de red. Dado que el exploit ocurre antes de que se ejecute el código de la aplicación, los firewalls tradicionales de aplicaciones web o los mecanismos de autenticación a nivel de servicio no pueden prevenirlo. El hecho de que distribuciones importantes como Ubuntu y RHEL aún no hayan publicado correcciones deja expuesta una parte significativa de la infraestructura empresarial durante este periodo.

La implicación de MPTCP añade complejidad a la evaluación de riesgos. Con Go 1.24 habilitando MPTCP por defecto, muchos microservicios modernos y aplicaciones nativas de la nube pueden exponer inadvertidamente sus hosts a la configuración más fácilmente explotable. Los equipos que ejecutan servicios basados en Go en Linux deben verificar el estado de su kernel y considerar deshabilitar MPTCP si no pueden aplicar parches inmediatamente. El retraso en las correcciones a nivel de distribución hace que las estrategias proactivas de mitigación, como el filtrado de red, sean esenciales para mantener la postura de seguridad.

Qué puedes hacer

• Comprueba tu versión de kernel en ejecución usando uname -r y compárala con el aviso de seguridad de tu distribución para ver si hay una corrección disponible.
• Si tienes instalado un kernel corregido, reinicia tus servidores para activar el parche, ya que las actualizaciones del kernel no surten efecto hasta el reinicio.
• Para sistemas que aún no puedan ser parcheados, implementa reglas nftables o iptables para descartar paquetes TCP IPv4 entrantes que contengan opciones IP, bloqueando así el vector de ataque.
• Deshabilita Multipath TCP estableciendo net.mptcp.enabled = 0 en sysctl si tus aplicaciones no lo requieren explícitamente, reduciendo la superficie de ataque.
• Monitoriza el rastreador de seguridad de tu distribución para actualizaciones, especialmente si usas Ubuntu o RHEL, ya que se esperan correcciones pronto.
• Verifica si algún servicio en escucha está utilizando MPTCP ejecutando ss -Mlnp y reinicia esos servicios después de deshabilitar MPTCP para asegurar que el cambio surta efecto.