Una vulnerabilidad de Escalada de Privilegios Locales (LPE) en las instalaciones predeterminadas de Ubuntu Desktop 24.04 y versiones posteriores permite a un atacante local sin privilegios obtener acceso root completo. Registrada como CVE-2026-3888, descubierta por The Qualys Threat Research Unit, la falla explota una interacción no intencionada entre dos componentes estándar del sistema, snap-confine y systemd-tmpfiles, lo que la hace especialmente peligrosa

Una vulnerabilidad de escalada de privilegios local (LPE) en instalaciones predeterminadas de Ubuntu Desktop 24.04 y versiones posteriores permite a un atacante local sin privilegios obtener acceso completo como root.

Registrada como CVE-2026-3888 y descubierta por The Qualys Threat Research Unit, la falla explota una interacción no intencionada entre dos componentes estándar del sistema, snap-confine y systemd-tmpfiles, lo que la hace especialmente peligrosa debido a lo profundamente integrados que están ambos en las implementaciones predeterminadas de Ubuntu.

Snapd es el servicio en segundo plano de Ubuntu que gestiona los paquetes snap, paquetes de aplicaciones autónomos con sus propias dependencias.

Además de la gestión de paquetes, snapd aplica el modelo de permisos que regula qué puede acceder cada snap en el sistema anfitrión, convirtiéndolo tanto en un gestor de paquetes como en un motor de políticas de seguridad.

Dos componentes dentro de este marco son clave en CVE-2026-3888:

• snap-confine es el binario setuid root responsable de construir los sandboxes de snap antes de que se ejecute una aplicación. Maneja el aislamiento de espacios de nombres de montaje, la aplicación de cgroups, la carga de políticas de AppArmor y el filtrado seccomp —todo el conjunto de confinamiento que mantiene a las aplicaciones snap dentro de sus límites.
• systemd-tmpfiles gestiona directorios volátiles como /tmp, /run y /var/tmp, creándolos al inicio y eliminando archivos obsoletos mediante temporizadores. Configuraciones incorrectas o ciclos de limpieza predecibles en esta utilidad pueden abrir ventanas de competencia por enlaces simbólicos y rutas de escalada local.

Explotación de la vulnerabilidad en sistemas Ubuntu Desktop

CVE-2026-3888 tiene una puntuación CVSS v3.1 de 7.8 (Alta), con el vector AV:L/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:H. El ataque requiere acceso local y privilegios bajos, no necesita interacción del usuario y produce un cambio de alcance, lo que significa que una explotación exitosa afecta recursos fuera del componente vulnerable, con alto impacto en confidencialidad, integridad y disponibilidad.

La alta complejidad del ataque refleja un mecanismo de retardo temporal inherente a la cadena de explotación. Por defecto, systemd-tmpfiles está programado para eliminar datos obsoletos de /tmp —después de 30 días en Ubuntu 24.04 y 10 días en versiones posteriores. El ataque se desarrolla en tres etapas:

1. El atacante espera a que el demonio de limpieza elimine /tmp/.snap, un directorio crítico utilizado por snap-confine durante la inicialización del sandbox.
2. Una vez eliminado, el atacante recrea /tmp/.snap y lo llena con cargas maliciosas.
3. En la siguiente inicialización del sandbox, snap-confine monta esos archivos como root, permitiendo la ejecución arbitraria de código en un contexto privilegiado y logrando la completa compromisión del sistema.

Las organizaciones deben actualizar snapd a las siguientes versiones parcheadas de inmediato:

Los sistemas heredados que ejecutan Ubuntu 16.04–22.04 LTS no son vulnerables en configuraciones predeterminadas, pero Qualys recomienda aplicar el parche como precaución para configuraciones no predeterminadas que puedan replicar el comportamiento de versiones más recientes.

Durante una revisión de seguridad proactiva antes del lanzamiento de Ubuntu 25.10, Qualys TRU identificó una condición de carrera en el paquete uutils coreutils —una reescritura en Rust de las utilidades GNU estándar.

La falla residía en la utilidad rm, permitiendo a un atacante local sin privilegios reemplazar entradas de directorio con enlaces simbólicos durante ejecuciones de cron propiedad de root, apuntando específicamente a /etc/cron.daily/apport. La explotación podría llevar a la eliminación arbitraria de archivos como root o a una escalada de privilegios adicional al atacar directorios de sandbox de snap.

El equipo de seguridad de Ubuntu mitigó el riesgo antes del lanzamiento público revirtiendo el comando rm predeterminado en Ubuntu 25.10 a GNU coreutils. Desde entonces, se han aplicado correcciones upstream en el repositorio de uutils.