Seguridad de aplicaciones
CVE-2026-98432: el fallo del kernel de Linux en IPv4 TCP y cómo parchearlo
Desde la versión 4.4, el kernel de Linux arrastra un fallo al establecer conexiones IPv4 TCP que se puede disparar desde la red, sin credenciales, contra cualquier puerto TCP abierto. Es el CVE-2026-98432, con una puntuación de 9,8 sobre 10. A 5 de noviembre no hay ataques confirmados y casi todas las distribuciones ya lo han corregido, pero Ubuntu solo tiene el kernel corregido en su canal de pruebas. Esto es lo que hay que saber y hacer.
Qué es: un use-after-free en IPv4 TCP alcanzable desde la red
Por debajo de la aplicación, el kernel de Linux arrastra desde la versión 4.4 un use-after-free al establecer conexiones IPv4 TCP (CVE-2026-98432). Un atacante sin credenciales lo dispara enviando peticiones de conexión con opciones IP, Record Route o Timestamp, a cualquier puerto TCP abierto, aprovechando una carrera cuando el cliente retransmite. El equipo CVE del kernel lo puntúa 9,8; Red Hat empezó en 5,9 y lo subió a crítico; Amazon Linux lo deja en 8,1. IPv6 no está afectado en la ruta principal.
El 27 de octubre Anthropic afirmó que un modelo interno de investigación escribió un exploit de root remoto contra servidores con MPTCP, sin publicar el código; CloudLinux dice que no ha podido reproducirlo. En GitHub solo circula código que demuestra la carrera, no ejecución de código, y el fallo no figura en el catálogo de vulnerabilidades explotadas de CISA.
Estado de los parches a 5 de noviembre
- RHEL 8, 9 y 10.2: corregido el 1 de noviembre (RHSA-2026:93414, 93412 y 93413).
- Debian, Oracle Linux y SUSE: corregido en octubre.
- Amazon Linux: corregido entre el 24 y el 30 de octubre.
- Ubuntu 22.04, 24.04 y 26.04: el kernel corregido solo está en -proposed, el canal de pruebas.
- Ubuntu 20.04 y anteriores: sin parche aún; hace falta Ubuntu Pro (ESM).
Qué hacer en el servidor
- Actualiza el kernel y reinicia: sin reinicio sigues ejecutando el vulnerable. Compruébalo con uname -r.
- En Ubuntu, vigila el tracker de Canonical: su postura es que la única mitigación válida es actualizar. Desactivar MPTCP no basta, porque el fallo está en IPv4 TCP.
- Mientras llega el parche, Red Hat publicó una regla de nftables que descarta los paquetes IPv4 TCP con opciones IP. Bloquea el disparador conocido, pero puede romper cargas que usen esas opciones y no protege el tráfico entre contenedores del mismo host.
En resumen
- Fallo en el kernel desde la 4.4, alcanzable desde la red; IPv6 no está afectado en la ruta principal.
- Actualiza el kernel y reinicia; compruébalo con uname -r.
- En Ubuntu, vigila cuándo sale de -proposed; desactivar MPTCP no basta.
- La regla de nftables de Red Hat ayuda mientras tanto, pero no cubre el tráfico entre contenedores.
Relacionado
¿Quieres revisar tu caso con contexto?
Cuéntanos el proceso, los sistemas implicados y el resultado que necesitas. Prepararemos la conversación para aprovechar los 30 minutos.