El kernel de Linux tiene una vulnerabilidad crítica, la CVE-2026-98432 (puntaje 9,8 sobre 10), que deja a un atacante sin autenticación ejecutar comandos como root en un servidor solo mandándole paquetes TCP armados. Está en el código de red de IPv4 desde la versión 4.4 del kernel, de 2016.
El parche ya está en las ramas estables del kernel y Debian ya lo distribuye. Ubuntu, Red Hat y Rocky Linux todavía no tienen paquetes corregidos al 30 de octubre, así que mientras tanto hay una mitigación de firewall.
Qué es la falla y por qué es tan grave
Cuando un cliente abre una conexión TCP, manda un primer paquete (SYN) y el servidor contesta. Ese paquete IPv4 puede traer «opciones IP», campos extra del encabezado que casi nadie usa hoy (por ejemplo, Record Route, que pide anotar por qué routers pasó el paquete).
El kernel guarda esas opciones mientras arma la conexión. Según la descripción oficial de la CVE, la función tcp_v4_syn_recv_sock() le pasa esas opciones al socket nuevo sin copiarlas, y en ciertas carreras (dos partes del kernel tocando lo mismo a la vez) la memoria se libera mientras todavía se usa.
Ese tipo de error se llama use-after-free: el programa sigue leyendo o escribiendo una zona de memoria que ya devolvió. Si el atacante logra poner sus propios datos en esa zona, puede tomar el control del kernel.
Lo que la hace crítica es que no pide nada: ni usuario, ni contraseña, ni que alguien haga clic. Alcanza con poder mandarle paquetes al servidor. Red Hat la clasifica como crítica (9,8, todavía preliminar) y aclara que ejecutar código de forma confiable exige controlar con precisión la memoria del kernel, aunque lo más fácil de lograr es tirar el servidor.
La encontró un modelo de IA, con un exploit que tardó 53 minutos
La falla la reportaron investigadores de Anthropic. En su publicación del 27 de octubre cuentan que un modelo interno de Claude, todavía no lanzado, armó una prueba de concepto contra un servidor Linux con un servicio MPTCP escuchando.
El exploit tiene dos etapas. Primero filtra una dirección de memoria del kernel, lo que desarma KASLR (la protección que ubica el kernel en una posición al azar para que el atacante no sepa dónde apuntar): eso tardó 48 minutos. Después, en unos cinco minutos más, ejecuta un comando como root.
Al 30 de octubre no hay reportes de que se esté explotando, según Bleeping Computer.
Ojo con MPTCP: apagarlo no alcanza
MPTCP (Multipath TCP) es una extensión de TCP que deja usar varias rutas de red a la vez para una misma conexión. Casi ninguna distribución la activa por defecto, pero Go 1.24 y posteriores la activan por defecto en los servicios que escuchan conexiones si el kernel la soporta. Un servicio escrito en Go puede tener MPTCP prendido sin que nadie lo haya pedido.
Pero el exploit de Anthropic usa MPTCP; la falla no depende de él. CIQ, la empresa detrás de Rocky Linux, probó que con net.mptcp.enabled=0 un servicio TCP común igual procesa un SYN con opciones IP. Desactivar MPTCP no protege.
Versiones afectadas y estado por distribución
El error entró en el kernel 4.4. Según CIQ, las ramas estables con la corrección son 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56 y 7.2.10.
- Debian: corregida en
linux 6.1.190-1(Debian 12, Bookworm) ylinux 6.12.113-1(Debian 13, Trixie), según su tracker de seguridad. - Ubuntu: 22.04, 24.04, 26.04 y 26.10 figuran como vulnerables, con el arreglo en preparación, en su página de la CVE.
- Red Hat Enterprise Linux y Rocky Linux: 8, 9 y 10 afectadas, sin kernel corregido publicado todavía. RHEL 7 no está afectada.
- Oracle Linux, Amazon Linux y SUSE: ya publicaron arreglos para algunas versiones del kernel, según Bleeping Computer.
Qué hacer
- Actualizar el kernel y reiniciar apenas la distribución publique el paquete corregido. Sin reinicio, el kernel viejo sigue corriendo.
- Priorizar los servidores expuestos a internet y, entre ellos, los que corren servicios en Go 1.24 o posterior (se ve con
sysctl net.mptcp.enabled: 1 quiere decir que MPTCP está disponible). - Mientras tanto, limitar quién llega a esos servidores a redes o direcciones de confianza.
- O descartar los paquetes TCP con opciones IP con una regla de nftables, como propone CIQ.
La regla temporal de CIQ (no sobrevive a un reinicio) descarta los paquetes IPv4 TCP con encabezado de más de 20 bytes, que son los que traen opciones:
sudo nft add table inet ciq_cve_2026_98432
sudo nft add chain inet ciq_cve_2026_98432 prerouting "{ type filter hook prerouting priority -300; policy accept; }"
sudo nft add rule inet ciq_cve_2026_98432 prerouting ip hdrlength gt 5 meta l4proto tcp counter dropTiene un costo: también descarta el tráfico legítimo que use opciones IP, que es poco pero existe. CIQ recomienda probarla primero en un equipo que no sea de producción, y no la probó en contenedores ni con IPv6. La versión persistente, con su servicio de systemd, está en la guía de CIQ.
¿Ya saben qué kernels corren en sus servidores expuestos?
Cuáles están expuestos a internet, cuáles corren servicios en Go y cuándo se pueden reiniciar. ¿Cómo lo están resolviendo en sus equipos? Te leemos en los comentarios.
Fuentes
- Debian Security Tracker: CVE-2026-98432
- Red Hat: CVE-2026-98432
- Ubuntu: CVE-2026-98432
- CIQ: CVE-2026-98432 Mitigation
- Anthropic: Discovering vulnerabilities with Claude
- Bleeping Computer: Critical Linux kernel flaw allows remote root attacks on MPTCP servers
- Go: GODEBUG, cambios de Go 1.24
