Ing. Calogero Bono
Un fallo crítico en el código TCP IPv4 del kernel de Linux, identificado como CVE-2026-98432, puede llevar a la ejecución remota de código. Red Hat publicó los kernels corregidos para RHEL 8, 9 y 10 el 1 de noviembre. Canonical, el 2 de noviembre, dejó las correcciones para Ubuntu 22.04, 24.04 y 26.04 LTS en el canal de pruebas -proposed, sin fecha para la actualización regular. Si administras servidores expuestos, tienes que elegir entre esperar o instalar ya.
Algunos términos antes de entrar en los hechos. CVE es el código que identifica una vulnerabilidad conocida. CVSS es la escala de 0 a 10 que mide su gravedad, aquí 9.8. Use-after-free es un error en el que el programa lee memoria que ya fue liberada. -proposed es el canal de Ubuntu donde las actualizaciones permanecen en prueba y no se instalan solas. MPTCP es Multipath TCP, una variante del protocolo que usa varias rutas de red.
¿Qué es el fallo CVE-2026-98432?
Según la reconstrucción de The Hacker News, cuando un servidor acepta una conexión TCP IPv4 el kernel pasa las opciones IP de la petición al nuevo socket sin copiarlas. Si el cliente retransmite la petición mientras otro procesador todavía lee esas opciones, el kernel puede leer memoria ya liberada.
Quien ataca envía peticiones con opciones IPv4 Record Route o Timestamp a cualquier puerto TCP en escucha. No hace falta ningún acceso. La ruta principal de IPv6 no está implicada. El defecto existe desde el kernel 4.4 y la corrección upstream llegó en octubre.
¿Qué gravedad tiene y hay algún exploit en circulación?
El equipo CVE del kernel asigna 9.8 sobre 10. Red Hat partió de un 5.9 Moderate y luego subió la puntuación a 9.8, calificando el fallo como Critical. Amazon Linux lo valora en 8.1, Important, y habla sobre todo de caídas con posible corrupción de memoria.
Ningún proveedor, CERT o equipo del kernel ha reportado ataques, y a finales de octubre no figuraba en el catálogo de CISA de vulnerabilidades explotadas. Anthropic ha afirmado que un modelo de investigación interno escribió un exploit root para servidores con un listener MPTCP, pero no ha publicado el código. En GitHub solo existe código que dispara la condición de carrera crítica, sin ejecución de código.
¿Qué versiones de Ubuntu están afectadas y cómo se instala el parche?
Según el blog oficial de Ubuntu, Jammy (22.04) tiene el kernel 5.15.0-203.213 en -proposed, Noble (24.04) el 6.8.0-149.149 y Resolute (26.04) el 7.0.0-43.43. Stonking (26.10) ya está corregida con la 7.3.0-10.10. Para Focal, Bionic y Xenial la corrección está en camino, mientras que Trusty no está afectada.
Con uname -r compruebas el kernel en uso. Para adelantarte al fix activa -proposed con add-apt-repository, instala con apt install -t la versión indicada y reinicia. Canonical prueba las actualizaciones en más de 2.000 servidores y dispositivos certificados antes del lanzamiento regular. Para las versiones antiguas se necesita Ubuntu Pro con ESM.
Si gestionas paquetes a mano, nuestra guía sobre apt y dnf te ayuda con los pasos.
¿Existen mitigaciones o basta con desactivar MPTCP?
No, desactivar MPTCP por sí solo no basta. El defecto está en la ruta TCP IPv4 y no en MPTCP, y Canonical insiste en que, para el Ubuntu Security Team, las actualizaciones son la única mitigación adecuada. El consejo sobre el protocolo surge solo porque el exploit descrito por Anthropic lo utiliza.
Red Hat publicó el 30 de octubre una regla de nftables que descarta los paquetes TCP IPv4 con opciones IP. Bloquea el disparador conocido pero no impide del todo la explotación y puede romper servicios que usan esas opciones. Solo actúa en el host donde se carga, y el tráfico entre contenedores de la misma máquina puede esquivarla. Para entender las reglas de red puedes empezar por la guía de configuración de red en Linux.
Límites que conviene conocer
No hay fecha para el lanzamiento regular de Ubuntu. Las variantes cloud, FIPS y real-time siguen en preparación, mientras que la publicación de Canonical solo cubre el kernel genérico. El exploit de Anthropic no es público y su eficacia es una afirmación de la empresa, no verificada por terceros. El panorama de ataques reales puede cambiar rápido.
Qué cambia para quien trabaja con lo digital
Si administras servidores Ubuntu 22.04, 24.04 o 26.04 expuestos a Internet, tienes que decidir ahora si usas -proposed o esperas. En RHEL 8, 9 y 10 basta con instalar la actualización y reiniciar. El reinicio hay que planificarlo, así que necesitas una ventana de mantenimiento. Revisa también contenedores y máquinas virtuales, porque heredan el kernel del host. Si usas un hosting gestionado, pregúntale al proveedor el estado del parche.
Nuestra opinión
La decisión de Canonical es prudente desde el punto de vista técnico, pero deja durante días sin parche a los servidores que más lo necesitan. Un 9.8 alcanzable sin autenticación merece un camino más rápido, y trasladar el riesgo al administrador con -proposed solo es aceptable si se explica bien. El blog lo hace, pero el retraso en las versiones antiguas sigue siendo un problema. Hay que reconocer que el consejo de desactivar MPTCP ha quedado desmentido con claridad.
Preguntas frecuentes
¿Se está explotando ya CVE-2026-98432?
No constan ataques reportados por proveedores, CERT ni el equipo del kernel. El fallo no estaba en el catálogo de CISA a 30 de octubre. Sí existen un exploit anunciado por Anthropic que no se ha publicado y código de prueba en GitHub.
¿Cómo compruebo si mi Ubuntu es vulnerable?
Ejecuta uname -r y compara la versión con la tabla de Canonical. Puedes ver los paquetes instalados con dpkg -l 'linux-image*'. Tras la actualización también necesitas reiniciar.
¿Puedo instalar el parche desde -proposed?
Sí, si aceptas usar un canal todavía en pruebas. Activas -proposed e instalas el kernel de forma explícita, porque no se actualiza automáticamente. Después reinicias.
¿Desactivar MPTCP soluciona el problema?
No. El fallo está en el TCP IPv4 y no en MPTCP, como recuerda Canonical. El consejo surge solo del exploit descrito por Anthropic.
¿Y qué pasa con Ubuntu 20.04 o versiones más antiguas?
De momento no hay corrección. Focal, Bionic y Xenial están en espera y pasan por Ubuntu Pro con ESM. Trusty no está afectada.
Qué vigilar en los próximos días con los kernels de Ubuntu
Lo decisivo es el lanzamiento regular de Canonical y si se publica el exploit.
- Sigue la página CVE de Ubuntu para conocer la fecha de salida en el canal updates y las variantes cloud.
- Comprueba si aparecen informes de ataques o si el fallo entra en el catálogo de CISA.
- Prepara una ventana de reinicio para los servidores expuestos, para aplicar el parche en cuanto esté disponible.
