Una vulnerabilidad crítica en el kernel de Linux, identificada como CVE-2026-98432, ha puesto en alerta a administradores de sistemas de todo el mundo. La falla, un use-after-free en el código que procesa el saludo TCP sobre IPv4, permite a un atacante remoto, sin necesidad de usuario ni contraseña, leer memoria del kernel, corromperla o tumbar el servidor simplemente enviando paquetes de conexión TCP. Aunque el kernel upstream ya publicó un parche de cuatro líneas, distribuciones mayores como Ubuntu y Red Hat Enterprise Linux (RHEL) siguen sin una solución definitiva, dejando a millones de servidores expuestos.
¿Qué es CVE-2026-98432 y por qué es tan grave?
La vulnerabilidad afecta a todas las versiones del kernel de Linux desde la 4.4, lanzada en 2016. El problema reside en el manejo de las opciones IP durante el establecimiento de una conexión TCP. Cuando llega un paquete SYN con opciones IPv4, el kernel crea un “request socket” temporal y guarda esas opciones en dos punteros: inet_opt e ireq_opt. Si la solicitud expira o se procesa fuera de orden, una ruta del código libera esa memoria. Si casi al mismo tiempo otra ruta intenta completar el saludo TCP con el ACK final, accede a memoria ya liberada, lo que constituye un use-after-free.
La puntuación CVSS 3.1 asignada por la autoridad de numeración del kernel es de 9.8 sobre 10, la máxima para un fallo que no requiere interacción del usuario. Las consecuencias van desde la exposición de contenido del heap del kernel al atacante remoto hasta la corrupción de memoria o el colapso total del sistema.
Estado de los parches: kernel upstream vs. distribuciones
El kernel estable de Linux publicó el parche el 11 y 15 de octubre de 2026. Las versiones corregidas son: 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 y 7.3. El commit que corrige la falla se titula “ipv4: free inet_opt and ireq_opt after an RCU grace period” y fue firmado por Eric Dumazet y revisado por Kuniyuki Iwashima, mantenedores habituales del subsistema de red.
Sin embargo, la adopción por parte de las distribuciones ha sido desigual. Al 31 de octubre de 2026, Ubuntu mantenía todos sus kernels soportados como “Vulnerable” sin aviso de seguridad publicado. Red Hat Enterprise Linux 8, 9 y 10, junto con OpenShift Container Platform, también aparecían como afectados sin parche disponible, aunque Red Hat subió su calificación de Important (8.1) a Critical (9.8) el 30 de octubre y publicó una mitigación temporal.
Otras distribuciones han respondido con mayor celeridad: AlmaLinux ya tiene kernels corregidos en su repositorio de pruebas desde el 30 de octubre; Amazon Linux corrigió todos sus kernels; Debian, SUSE Enterprise y Oracle UEK también cuentan con versiones parchadas.
El exploit creado por inteligencia artificial
Un dato inquietante: la vulnerabilidad fue reportada por Xinyang Ge, investigador de Anthropic, y según la compañía, su modelo Claude escribió un exploit funcional que otorga acceso root remoto sin necesidad de credenciales. El exploit requiere que el servidor tenga un listener de Multipath TCP (MPTCP) activo, una extensión que combina varias rutas de red en una sola conexión. Lo preocupante es que los programas escritos en Go activan MPTCP por defecto, por lo que la configuración necesaria para el ataque es más común de lo que se pensaba.
Anthropic no publicó el código del exploit, pero el hecho de que un modelo de IA haya logrado convertir un bug remoto en una herramienta de acceso root plantea serias preguntas sobre la velocidad con la que las vulnerabilidades pueden ser armadas en la era de la inteligencia artificial.
¿Está tu servidor en riesgo? Cómo verificarlo
Para confirmar si tu kernel ya tiene el parche, ejecuta uname -r y compara el resultado con la tabla de versiones corregidas. Por ejemplo, un kernel 6.12.113-generic o posterior incluye la corrección. En Ubuntu Pro, el comando pro fix CVE-2026-98432 --dry-run indica si el paquete instalado sigue expuesto.
Mientras llega el parche definitivo para Ubuntu y RHEL, Red Hat propone una mitigación con nftables en su boletín RHSB-2026-016, que consiste en descartar paquetes TCP con opciones IPv4. Esta regla también corta tráfico legítimo que use esas opciones, por lo que debe aplicarse solo temporalmente. Si no utilizas Multipath TCP, desactivarlo reduce la superficie de ataque.
Impacto en México y Latinoamérica
La adopción de Linux en servidores y servicios en la nube es masiva en la región. Empresas, gobiernos y proveedores de servicios digitales que utilicen Ubuntu o RHEL se encuentran en una situación de riesgo hasta que se publiquen los parches correspondientes. Se recomienda a los equipos de TI revisar sus sistemas, aplicar las mitigaciones temporales y mantenerse atentos a los avisos de seguridad de sus distribuciones.
Conclusión
CVE-2026-98432 es un recordatorio de que la seguridad del kernel es fundamental y de que la coordinación entre el proyecto Linux y las distribuciones puede fallar. Con un exploit generado por IA en manos de atacantes, el tiempo de reacción se vuelve crítico. Si administras servidores Linux, verifica hoy mismo el estado de tu kernel y aplica las medidas disponibles.