Si administras un servidor Linux, revisa hoy las actualizaciones del kernel por el CVE-2026-98432. El fallo está en el manejo de conexiones TCP IPv4 y, bajo determinadas condiciones, investigadores de Anthropic demostraron ejecución remota de comandos como root en un servidor con un listener de Multipath TCP (MPTCP).
La alerta no significa que todos los equipos Linux estén siendo atacados ni que MPTCP sea el único camino posible. El riesgo depende de la versión del kernel, la configuración del servicio y de si ya instalaste el paquete corregido de tu distribución.
Qué es el CVE-2026-98432
El problema es una condición de carrera que puede provocar un use-after-free: una parte del kernel intenta leer una zona de memoria después de que otra parte ya la liberó. El error se encuentra en el código de red IPv4 que procesa solicitudes TCP. El aviso del equipo de seguridad del kernel lo clasifica con una puntuación CVSS 3.1 de 9,8 sobre 10, con acceso por red, sin autenticación y con impacto potencial en la confidencialidad, integridad y disponibilidad.
El identificador es CVE-2026-98432. El fallo fue introducido en el kernel 4.4 y las correcciones se incorporaron a varias ramas mantenidas, entre ellas 5.10.272, 5.15.223, 6.1.190, 6.6.159 y 6.12.113. El número de versión que debes buscar puede ser distinto porque cada distribución incorpora sus propios parches y cambia la numeración de sus paquetes.
Por qué aparece MPTCP en la alerta
Multipath TCP permite que una conexión utilice más de una ruta de red. Puede ser útil en equipos con Wi-Fi y red móvil, servidores con varios enlaces o infraestructuras que necesitan continuidad de conexión. Anthropic publicó una demostración en la que un atacante remoto envía paquetes a un servidor con un listener MPTCP y consigue ejecutar comandos como root sin credenciales ni interacción del usuario.
La demostración necesitó una explotación compleja y repetible de la condición de carrera. Anthropic indicó que su prueba tardó aproximadamente 48 minutos en obtener una dirección del kernel y otros cinco minutos en llegar a la ejecución del comando. Ese dato demuestra impacto técnico, pero no equivale a una campaña activa contra todos los servidores Linux.
También es importante una precisión: desactivar MPTCP por sí solo no garantiza eliminar el riesgo. El defecto está en una ruta TCP IPv4 que también puede alcanzarse mediante tráfico TCP normal. Por eso la medida principal es instalar el kernel actualizado y no limitarse a cambiar una opción de configuración.
Qué debe hacer un administrador
- Comprueba la versión instalada con
uname -ry consulta el aviso de seguridad de tu distribución. - Instala las actualizaciones disponibles con el gestor oficial. Después reinicia el servidor si el proveedor indica que el kernel cargado debe reemplazarse.
- Verifica qué servicios escuchan en Internet y limita el acceso a redes o direcciones confiables mediante el firewall.
- Si aún no hay paquete corregido, reduce temporalmente la exposición del servidor y sigue el aviso del proveedor. No instales kernels modificados ni parches sueltos de fuentes no oficiales.
- Revisa registros de red y procesos si el sistema estuvo expuesto, pero no confundas intentos de conexión con una intrusión confirmada.
Qué significa para usuarios de Perú
El riesgo no depende de estar en Perú: afecta a servidores Linux expuestos a Internet en cualquier país. Sí conviene tener en cuenta que muchas pequeñas empresas, universidades y proveedores locales administran VPS con Ubuntu, Debian, Rocky Linux u otra distribución sin un equipo de seguridad permanente. En Ubuntu, el rastreador de Canonical mostraba el 30 de octubre que varias versiones todavía tenían la corrección en progreso, así que conviene comprobar el estado exacto del paquete antes de asumir que una actualización general ya resolvió el problema.
Si administras un servidor contratado en Lima u otra ciudad, el proveedor puede encargarse del sistema operativo, pero debes confirmar por escrito qué versión del kernel está ejecutando la máquina y cuándo aplicará el reinicio. Para una computadora personal que no ofrece servicios TCP a Internet, la prioridad sigue siendo actualizar normalmente; no hace falta activar MPTCP para aprovechar esta información.
Como referencia adicional sobre riesgos de software abandonado, puedes leer el caso del actualizador inseguro de Time4Popcorn y la guía antigua sobre cómo revisar un USB sospechoso. Son problemas distintos, pero ambos muestran por qué conviene actualizar y evitar componentes sin mantenimiento.
Conclusión
CVE-2026-98432 es un fallo crítico del kernel Linux con una demostración de ejecución remota especialmente preocupante en servidores con MPTCP. La respuesta correcta es comprobar el aviso de la distribución, instalar el kernel corregido y reducir la exposición mientras el parche no esté disponible; desactivar MPTCP, por sí solo, no sustituye a la actualización.
Fuentes: NVD de NIST; aviso oficial del equipo de seguridad del kernel Linux; informe técnico de Anthropic; rastreador de seguridad de Ubuntu; cobertura de BleepingComputer.
No hay comentarios.:
Publicar un comentario