Investigadores de seguridad han identificado una vulnerabilidad crítica de desbordamiento de búfer en el demonio telnetd de GNU Inetutils. Registrada como CVE-2026-32746, esta falla permite a un atacante remoto no autenticado ejecutar código arbitrario y obtener acceso de root en sistemas afectados. La vulnerabilidad no requiere interacción del usuario y presenta un camino de explotación altamente trivial, lo que ha generado una advertencia urgente para los defensores [...].

Investigadores de seguridad han identificado una vulnerabilidad crítica de desbordamiento de búfer en el demonio telnetd de GNU Inetutils.

Registrada como CVE-2026-32746, esta falla permite a un atacante remoto no autenticado ejecutar código arbitrario y obtener acceso root en sistemas afectados.

La vulnerabilidad no requiere interacción del usuario y tiene un camino de explotación altamente trivial, lo que ha generado una advertencia urgente para los defensores que gestionan infraestructuras heredadas.

El problema central radica en cómo el demonio telnetd maneja la negociación de la opción LINEMODE SLC (Set Local Characters).

Un atacante puede desencadenar el clásico desbordamiento de búfer enviando un mensaje especialmente diseñado durante el apretón de manos inicial de la conexión.

Como esto ocurre antes de que aparezca cualquier prompt de autenticación, el exploit no requiere credenciales válidas. Los investigadores de Dream Security reportaron la vulnerabilidad al equipo de GNU Inetutils el 11 de marzo de 2026.

La vulnerabilidad en telnetd permite ataques remotos

Los mantenedores confirmaron rápidamente el hallazgo y aprobaron un parche, aunque no se espera su lanzamiento oficial hasta el 1 de abril de 2026.

Aunque no se ha observado explotación activa en la naturaleza, la baja complejidad del ataque exige acciones defensivas inmediatas.

Aunque las redes modernas de TI han dejado en gran medida de usar Telnet en favor de SSH, el protocolo de texto plano sigue profundamente arraigado en sistemas de Control Industrial (ICS), tecnología operativa (OT) y entornos gubernamentales.

Los controladores lógicos programables (PLC) y sistemas SCADA antiguos suelen depender de Telnet como su única interfaz de gestión remota.

Actualizar estos sistemas es notoriamente costoso y disruptivo operativamente, lo que obliga a las organizaciones a aceptar una exposición a largo plazo.

Dado que el servicio telnetd suele ejecutarse como root a través de inetd o xinetd, un exploit exitoso conduce a un compromiso total del host.

Los atacantes pueden instalar puertas traseras persistentes, robar datos operativos sensibles o usar el dispositivo vulnerado como punto de pivote para lanzar ataques más profundos contra líneas de fabricación físicas, plantas de tratamiento de agua o redes eléctricas.

Con un parche formal aún pendiente, los equipos de seguridad deben implementar soluciones alternativas inmediatas para proteger los sistemas expuestos.

Desactivar el servicio telnetd es la defensa más efectiva. Si el servicio sigue siendo necesario operativamente, los administradores de red deben bloquear el puerto 23 en el firewall perimetral para restringir el acceso solo a hosts confiables.

Ejecutar telnetd sin privilegios de root también puede limitar el radio de impacto de un exploit exitoso.

Los investigadores de Dream Security advierten que los registros de autenticación estándar no capturarán este ataque, ya que se ejecuta durante la fase inicial de negociación de opciones.

Los defensores deben confiar en el registro a nivel de red y la captura de paquetes para identificar amenazas.

Las organizaciones deben configurar reglas en el firewall para registrar todas las nuevas conexiones al puerto 23 y desplegar firmas de Sistemas de Detección de Intrusos (IDS) que alerten sobre subopciones LINEMODE SLC con cargas útiles inusualmente grandes que superen los 90 bytes.

Todos los registros deben enviarse a un SIEM centralizado para evitar que los atacantes borren evidencia forense tras obtener acceso root.