· por NetProtector Security Team
CVE-2026-98432: vulnerabilidad crítica en la pila TCP del kernel de Linux
Una vulnerabilidad en la pila TCP del kernel de Linux puede desencadenarse a través de la red sin autenticación y, en el peor de los casos, permitir la obtención de privilegios de root. El fallo está presente en el código desde Linux 4.4, es decir, desde hace casi diez años. Hay parches disponibles, pero todavía no han llegado a todas las distribuciones.
¿Qué es CVE-2026-98432?
Se trata de un fallo use-after-free en el procesamiento de conexiones TCP de IPv4, con una puntuación CVSS 3.1 de 9.8 (crítica). Durante el establecimiento de la conexión, el kernel transfiere las opciones IPv4 de la solicitud de conexión al nuevo socket. Desde Linux 4.4, estos pasos se ejecutan sin bloquear el socket en escucha. Si un paquete SYN repetido llega a otro núcleo del procesador mientras el nuevo socket se está liberando, el kernel lee memoria ya liberada.
Para un ataque se necesita:
- acceso de red a un servicio TCP de IPv4 de un sistema sin parchear,
- un paquete de conexión con opciones IPv4 (p. ej., Record Route o Timestamp) y su repetición,
- ninguna credencial ni intervención de ningún usuario.
Perder la condición de carrera solo hace que falle el establecimiento de la conexión, por lo que un atacante puede intentarlo tantas veces como quiera.
¿Qué tan peligroso es en la práctica?
Un investigador de Anthropic notificó el fallo. El 27 de octubre de 2026, Anthropic informó de un exploit que obtiene privilegios de root en servidores con un listener Multipath TCP (MPTCP); no se ha publicado. A principios de noviembre no se conocía ningún exploit público funcional y la vulnerabilidad no figuraba en el catálogo KEV de la agencia estadounidense CISA. Esto puede cambiar rápidamente.
Importante: el equipo de seguridad de Go señala que Go, a partir de la versión 1.24, activa MPTCP por defecto en los listeners de Linux. Por tanto, los servicios escritos en Go pueden cumplir la condición del exploit conocido sin que nadie lo haya activado de forma consciente.
Versiones afectadas y corregidas
Están afectados todos los kernels a partir de la 4.4 sin la corrección. El fallo está corregido en Linux 7.3, así como en las versiones estables 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56 y 7.2.10. Debian, SUSE, Oracle Linux y Amazon Linux ya han publicado kernels corregidos para parte de sus versiones; Red Hat clasifica la vulnerabilidad como crítica. A finales de octubre aún faltaban actualizaciones para RHEL y Ubuntu; según algunos informes, las de RHEL se publicaron a principios de noviembre. El estado actual lo indica el advisory de su distribución.
Qué debe hacer ahora
-
Actualizar el kernel y reiniciar: un kernel instalado pero no arrancado no protege. Compruebe con
uname -rcuál se está ejecutando realmente. -
Reducir la superficie de ataque hasta la actualización:
sysctl -w net.mptcp.enabled=0 sysctl -w net.ipv4.tcp_migrate_req=0Para que sea permanente, utilice un archivo en
/etc/sysctl.d/. Esto reduce la probabilidad, pero no impide por completo la explotación. -
Localizar listeners MPTCP:
ss -M -l -n -pmuestra los servicios que ofrecen Multipath TCP; revise especialmente las aplicaciones Go. -
Filtrar las opciones IPv4 siempre que sea posible: descartar en el perímetro los paquetes con opciones IP protege adicionalmente los servicios expuestos. Compruebe antes si alguna aplicación depende de ellas.
Nuestra valoración
Las vulnerabilidades del kernel explotables a través de la red son poco frecuentes, pero especialmente problemáticas: afectan a todos los servicios, no solo a una aplicación, y también a appliances, routers o hosts de contenedores que llevan Linux en su núcleo. Además de aplicar los parches con rapidez, ayuda una arquitectura de red que solo haga accesibles los servicios que realmente deben serlo, y un sistema de intrusion prevention capaz de detectar y bloquear paquetes inusuales, como conexiones TCP con opciones IP.