Una vulnerabilidad de severidad crítica en el kernel Linux, identificada como CVE-2026-98432, permite a un atacante remoto y no autenticado provocar una condición de use-after-free en la pila TCP IPv4. El fallo, con puntuación CVSS 9.8, afecta a kernels desde la versión 4.4 y puede derivar en caída del sistema o, en condiciones favorables, en ejecución de código. Red Hat publicó parches el 1 de noviembre para RHEL 8, 9 y 10; Ubuntu mantiene las correcciones en el bolsillo de pruebas a 3 de noviembre de 2026.
Qué es CVE-2026-98432
El equipo de CVE del kernel Linux publicó el 15 de octubre de 2026 el aviso de CVE-2026-98432, titulado «ipv4: free inet_opt and ireq_opt after an RCU grace period». La descripción oficial detalla una condición de use-after-free que se produce cuando el kernel libera las opciones IP asociadas a una solicitud de conexión TCP mientras otro procesador aún las está leyendo.
La puntuación CVSS v3.1 asignada por el CNA del kernel es 9.8 (crítica), con vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Esto indica ataque por red, complejidad baja, sin privilegios ni interacción de usuario, e impacto alto en confidencialidad, integridad y disponibilidad. Red Hat ha adoptado la misma puntuación de 9.8 en su boletín RHSB-2026-016.
El fallo fue reportado por Xinyang Ge, de Anthropic, y corregido por Eric Dumazet. El commit principal en la rama mainline es e3f33b0a1d89. Las versiones estables que ya incluyen el arreglo son, entre otras, 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56 y 7.2.10, además de la serie 7.3.
Cómo se produce el use-after-free
En el establecimiento de una conexión TCP IPv4, la función tcp_v4_syn_recv_sock() transfiere la propiedad de la estructura ireq->ireq_opt (opciones IP de la solicitud) al socket hijo (newinet->inet_opt) sin realizar una copia profunda. Otra CPU puede estar procesando simultáneamente un SYN retransmitido de la misma solicitud y construir un SYN-ACK que lee esas mismas opciones bajo un bloqueo RCU.
Como los sockets hijos TCP no utilizan la marca SOCK_RCU_FREE, la destrucción del socket llama a kfree() directo sobre inet_opt en lugar de diferir la liberación mediante RCU. El resultado es que ip_options_build() puede acceder a memoria ya liberada. Existe un escenario análogo en la migración de request sockets (cuando está activa net.ipv4.tcp_migrate_req o se usa un programa BPF de tipo BPF_SK_REUSEPORT_SELECT_OR_MIGRATE).
El fallo está presente desde el commit 079096f103fa («tcp/dccp: install syn_recv requests into ehash table»), introducido en Linux 4.4. IPv6 no se ve afectado por el camino principal porque tcp_v6_syn_recv_sock() duplica las opciones. AWS describe en su boletín 2026-160 que, bajo condiciones específicas, un tercero remoto y no autenticado puede enviar paquetes TCP IPv4 elaborados a un listener expuesto y conseguir ejecución de código remota. Red Hat subraya que el resultado más probable es una caída del sistema o corrupción de memoria.
Estado de los parches en las principales distribuciones (actualizado a 3 de noviembre)
Red Hat publicó el 1 de noviembre las erratas RHSA-2026:93414 (RHEL 8), RHSA-2026:93412 (RHEL 9) y RHSA-2026:93413 (RHEL 10), entre otras. Tras instalar el kernel actualizado es obligatorio reiniciar. Amazon Linux 2 y 2023 también tienen paquetes disponibles. Debian, SUSE y Oracle han liberado kernels corregidos para varias ramas.
Ubuntu ha colocado las correcciones en el bolsillo -proposed para 22.04, 24.04 y versiones posteriores, pero aún no están en el canal estable a 3 de noviembre. Canonical recomienda a quienes prueban kernels verificar los paquetes propuestos. Las versiones anteriores (20.04 y anteriores) siguen pendientes.
Qué deben hacer los administradores
La medida definitiva es instalar un kernel que contenga el arreglo y reiniciar. En sistemas con paquetes ya disponibles (Debian, Amazon Linux, Oracle Linux UEK, RHEL, etc.) el procedimiento habitual es actualizar el paquete del kernel y reiniciar. En Ubuntu hay que vigilar los avisos de seguridad y aplicar el parche en cuanto esté disponible en el canal estable o usar los propuestos con precaución.
Como mitigación temporal, Red Hat propone filtrar paquetes IPv4 TCP con opciones IP mediante nftables. AWS sugiere desactivar MPTCP con net.mptcp.enabled=0. Estas medidas reducen la exposición pero no eliminan el riesgo por completo. Cualquier servicio que escuche en TCP IPv4 y sea alcanzable desde Internet (o desde redes no fiables) debe considerarse potencialmente expuesto.
No se han reportado explotaciones activas en el mundo real ni el fallo figura en el catálogo KEV de CISA. Anthropic ha indicado que un modelo interno construyó en laboratorio un exploit que alcanzaba root en servidores con listener MPTCP, pero se trata de un resultado de laboratorio, no de un ataque observado en producción.
Por qué importa y qué puede pasar ahora
Linux es la base de la gran mayoría de servidores, contenedores, nubes públicas y dispositivos embebidos. Un fallo en la pila TCP IPv4 con vector de red y sin autenticación afecta potencialmente a cualquier servicio que acepte conexiones TCP. En España y la Unión Europea esto incluye desde VPS y hosting compartido hasta infraestructura crítica y entornos de contenedores basados en kernels Debian o Ubuntu.
Fuentes primarias: registro CVE en cve.org, boletín de AWS 2026-160, boletín Red Hat RHSB-2026-016, tracker de Ubuntu y avisos de Debian. La prioridad para administradores de sistemas en España y la UE es aplicar el parche disponible y reiniciar lo antes posible.
Deja una respuesta