[DTT Alerta de seguridad] Vulnerabilidad crítica en el kernel de Linux permite tomar control remoto de servidores

Identificador: DTT-AS-2026-003
Fecha: 30 de octubre de 2026
Emisor: Laboratorio de Desarrollo y Transferencia de Tecnología (DTT) – UCB Sede Tarija
Nivel de alerta: Crítico
Dirigido a: Administradores de servidores Linux, proveedores de hosting y nube, centros de datos y equipos de TI de instituciones y empresas

Se ha documentado una vulnerabilidad crítica en el kernel de Linux, identificada como CVE‑2026‑98432, en la gestión del establecimiento de conexiones TCP sobre IPv4. La falla permite que un atacante remoto, sin autenticarse y sin interacción del usuario, ejecute código con privilegios de root en el servidor afectado. El equipo CVE del kernel le asignó una puntuación CVSS 3.1 de 9,8.

El error fue introducido en Linux 4.4, por lo que alcanza a la gran mayoría de los kernels en uso: servidores web, bases de datos, hipervisores, contenedores y equipos en la nube. Al 29 de octubre de 2026, Ubuntu todavía no ha publicado kernels corregidos y Red Hat no ha liberado parche para RHEL, mientras que Debian, Oracle Linux y Amazon Linux ya disponen de actualizaciones.

Versiones afectadas

Todo kernel desde Linux 4.4 que no incluya la corrección. Las versiones upstream corregidas son:

Rama del kernel	Versión corregida
5.10	5.10.272
5.15	5.15.223
6.1	6.1.190
6.6	6.6.159
6.12	6.12.113
6.18	6.18.56
7.2	7.2.10
7.3	7.3 (incluida desde 7.3-rc7)

Estado por distribución (al 29–30 de octubre de 2026)

Distribución	Versión	Estado	Kernel corregido / previsto
Ubuntu	26.10	Vulnerable, parche en preparación	7.3.0-10.10
Ubuntu	26.04 LTS	Vulnerable, parche en preparación	7.0.0-43.43
Ubuntu	24.04 LTS	Vulnerable, parche en preparación	6.8.0-149.149
Ubuntu	22.04 LTS	Vulnerable, parche en preparación	5.15.0-203.213
Ubuntu	20.04 / 18.04 / 16.04 (ESM)	Vulnerable	Sin versión anunciada
Debian	13 «trixie»	Corregido	6.12.113-1 (DSA-6568-1)
Debian	12 «bookworm»	Corregido	6.1.190-1 (DLA-4841-1)
RHEL	Todas	Sin parche publicado	—
Oracle Linux (UEK)	7 a 10	Corregido	ELSA-2026-500397 / 500398 / 500399
Amazon Linux	2023	Corregido	ALAS2023-2026-3251 / 3335

También están afectados los kernels de Ubuntu para nube (AWS, Azure, GCP, Oracle), HWE, baja latencia, FIPS, Raspberry Pi y tiempo real. Las versiones de Ubuntu indicadas son objetivos de trabajo en curso, no correcciones ya publicadas.

Indicadores de exposición

El servidor ejecuta un kernel Linux 4.4 o posterior sin la corrección (verificar con uname -r).
El equipo expone servicios TCP sobre IPv4 a Internet o a redes no confiables.
Hay un servicio escuchando con Multipath TCP (MPTCP) habilitado.
Se usa net.ipv4.tcp_migrate_req=1 o programas BPF de reuseport.
La distribución es Ubuntu o RHEL, que aún no tienen kernels corregidos publicados.
Se usan kernels compilados a medida que no siguen las versiones estables del kernel.

Riesgos

Una explotación exitosa puede permitir:

Tomar control total del servidor con privilegios de root, sin credenciales.
Instalar puertas traseras persistentes a nivel de sistema operativo.
Acceder a todos los datos, bases de datos y credenciales alojados en el equipo.
Comprometer las máquinas virtuales o contenedores que dependen de un anfitrión vulnerable.
Usar el servidor como punto de entrada a la red interna o para atacar a terceros.
Provocar caídas del sistema por corrupción de memoria del kernel.

Recomendaciones

Inventariar todos los servidores Linux y sus kernels con uname -r, empezando por los expuestos a Internet.
Debian, Oracle Linux y Amazon Linux: actualizar el kernel de inmediato y reiniciar; el kernel nuevo no se carga sin reinicio.
Ubuntu: seguir la página oficial del CVE y, en cuanto se publique el parche, actualizar y reiniciar. Con Ubuntu Pro, sudo pro fix CVE-2026-98432 informa el estado y aplica la corrección.
Livepatch: donde esté habilitado, verificar la cobertura con canonical-livepatch status. No sustituye el reinicio con el kernel corregido.
RHEL y derivados: seguir los avisos de Red Hat y aplicar el parche apenas esté disponible; mientras tanto, aplicar las medidas temporales.
Kernels compilados a medida: migrar a una de las versiones upstream corregidas.

Comandos de verificación y actualización

# Versión del kernel en ejecución
uname -r

# Debian / Ubuntu (cuando el parche esté publicado)
sudo apt update && sudo apt full-upgrade
sudo reboot

# Ubuntu Pro
sudo pro fix CVE-2026-98432

# Estado de Livepatch
canonical-livepatch status

# Revisar MPTCP y migración de solicitudes TCP
sysctl net.mptcp.enabled net.ipv4.tcp_migrate_req

Medidas temporales mientras no exista parche

Estas medidas no son oficiales y reducen el riesgo, pero no corrigen la falla. Se recomienda probarlas antes en un entorno de preproducción:

Deshabilitar MPTCP si no se utiliza: sysctl -w net.mptcp.enabled=0. Cierra la ruta de explotación descrita, no el error de fondo.
Mantener net.ipv4.tcp_migrate_req=0, que es el valor por defecto.
Evaluar el filtrado en el firewall perimetral de paquetes IPv4 entrantes con opciones IP, que el tráfico legítimo rara vez utiliza.
Restringir los puertos TCP expuestos a lo estrictamente necesario.

Detalles técnicos

CVE‑2026‑98432 — Uso después de liberar en el manejo del handshake TCP sobre IPv4

Al completarse una conexión TCP, el kernel traspasa al nuevo socket las opciones IP de la solicitud pendiente sin hacer una copia. Si ese socket se destruye mientras otra CPU todavía usa esas opciones para responder a un SYN retransmitido, el kernel lee memoria ya liberada. Se trata de una condición de carrera que produce un uso después de liberar (use-after-free).

Existe una segunda ruta con el mismo problema: la migración de sockets de solicitud TCP (net.ipv4.tcp_migrate_req=1 o programas BPF de reuseport). IPv6 no está afectado por la falla principal; un caso residual en CALIPSO se corregirá por separado.

La corrección libera las opciones solo después de un periodo de gracia RCU (kfree_rcu()) y corresponde al commit e3f33b0, incluido en Linux 7.3-rc7.

Dato	Valor
Componente	Kernel de Linux, handshake TCP sobre IPv4
Tipo	Condición de carrera con uso después de liberar
CVSS 3.1	9,8 (Crítica), según el equipo CVE del kernel
CVSS 4.0	8,3 (Alta)
Prioridad Ubuntu	Alta
Autenticación	No requerida
Origen del error	Linux 4.4 (commit 079096f)
Corrección	Commit e3f33b0 (Linux 7.3-rc7)

Cronología

15 de octubre de 2026: se publica CVE‑2026‑98432.
24 de octubre de 2026: el equipo CVE del kernel asigna la puntuación CVSS 3.1 de 9,8.
27 de octubre de 2026: se anuncia la existencia de un exploit funcional, no publicado.
29 de octubre de 2026: Debian, Oracle Linux y Amazon Linux tienen kernels corregidos; Ubuntu mantiene el parche en preparación y RHEL sigue sin parche. La vulnerabilidad no figura en el catálogo KEV de CISA.

En resumen

Confirmado

CVE‑2026‑98432 es una vulnerabilidad del kernel de Linux documentada en el registro CVE, NVD, Ubuntu y Debian.
Permite ejecución remota de código como root sin autenticación ni interacción del usuario.
Afecta a los kernels desde Linux 4.4 que no incluyen la corrección; IPv6 no está afectado por la falla principal.
Existe corrección upstream (commit e3f33b0) y kernels corregidos en Debian, Oracle Linux y Amazon Linux.
Al 29 de octubre de 2026, Ubuntu y RHEL no habían publicado kernels corregidos.

No confirmado

Explotación activa en ataques reales: no hay reportes confirmados y no figura en el catálogo KEV de CISA.
Los detalles del exploit anunciado el 27 de octubre, que según las fuentes consultadas no es público y aprovecha servidores con MPTCP.
La fecha de publicación de los parches de Ubuntu y Red Hat.
El número de servidores vulnerables en Bolivia o la región.

Articulo UCB