Vulnerabilidad crítica en kernel Linux CVE-2026-98432
Ubuntu ha publicado correcciones para CVE-2026-98432, una vulnerabilidad crítica en el kernel de Linux que permite la ejecución remota de código aprovechando el manejo de opciones IPv4 durante el establecimiento de conexiones TCP. La falla recibe un CVSS 3.1 de 9.8; Ubuntu la marca como de prioridad alta y está validando parches en el pocket -proposed para versiones recientes (22.04 LTS y superiores). Técnicamente, el problema deriva de un uso de memoria tras liberar (use-after-free) de las opciones IPv4 cuando múltiples contextos procesan la negociación de conexión, y la corrección difiere la liberación mediante kfree_rcu() para garantizar la seguridad de la memoria.
La aparición de escaneos masivos en Internet con conexiones MPTCP (Multipath TCP) ha levantado alarma. El investigador Marcus Hutchins (MalwareTech) ha reportado rastreos que alcanzaron más de dos millones de endpoints “alcanzables” aceptando conexiones MPTCP en el puerto 443; una exploración más profunda que completó negociación TLS devolvió alrededor de 762.774 sistemas. Estas cifras describen infraestructura accesible, no necesariamente equipos vulnerables o explotados. Hutchins observó uso de proxies residenciales y servidores VPN con base en Rusia realizando conexiones MPTCP que no transmitían datos HTTP, lo que sugiere reconocimiento orientado a detectar la vulnerabilidad, no indexado web ordinario. No hay exploit público RCE confirmado; circulan pruebas de concepto de DoS, y el desarrollo de un RCE fiable parece complejo, favoreciendo a atacantes bien financiados.
Se identifican kernels y entornos que habilitan MPTCP por defecto (por ejemplo, ciertas imágenes Debian) y aplicaciones Go 1.24+ pueden crear listeners MPTCP si el kernel lo permite (Caddy citado como ejemplo). Administradores pueden inspeccionar listeners con sudo ss -Mlnp; desactivar net.mptcp.enabled=0 no cierra sockets existentes: las aplicaciones afectadas deben reiniciarse. Ubuntu proporciona builds propuestos: 5.15.0-203.213 para 22.04, 6.8.0-149.149 para 24.04 y 7.0.0-43.43 para 26.04; 26.10 aparece referido como fijo en 7.3.0-10.10 aunque el rastreador público mantiene el estado «work in progress». Verifique el estado de paquetes antes de desplegar.
Versiones Afectadas
| Producto | Versiones afectadas | Versiones no afectadas / Observaciones |
|---|---|---|
| Ubuntu Linux (kernel) | 22.04 LTS: 5.15.0-203.213 24.04: 6.8.0-149.149 26.04: 7.0.0-43.43 En validación / proposed. |
26.10: Reportado como corregido en la versión 7.3.0-10.10. Verificar estado público antes de considerar la corrección confirmada. |
Recomendaciones
- Inventariar servicios expuestos a Internet y priorizar aquellos que aceptan conexiones en puerto 443 y/o MPTCP.
- Validar y aplicar los paquetes del kernel corregidos publicados por su distribución y reiniciar sistemas para eliminar listeners persistentes.
- Antes de desplegar en producción, ejecutar pruebas de aceptación con los builds propuestos y verificar el tracker de paquetes.
- Reiniciar o reciclar aplicaciones que mantienen sockets MPTCP; desactivar net.mptcp.enabled requiere reinicio de procesos para surtir efecto.
- Integrar contexto de alerta en su SOC y correlacionar con telemetría de red para detectar escaneos MPTCP sospechosos.
- Si dispone de IPS/filtrado, considere mitigaciones temporales de bloqueo o reducción de exposición de opciones IPv4 hasta aplicar el parche.
- Mantenerse atento a inteligencia de amenazas y a cualquier exploit público que pueda surgir, priorizando la actualización de kernels.
CVEs
Referencias
https://ubuntu.com/security/CVE-2026-98432
https://gbhackers.com/ubuntu-releases-security-fixes-for-critical-linux-kernel-vulnerability/
