Una vulnerabilidad del kernel de Linux recientemente revelada, identificada como CVE-2026-46333, expone un fallo grave de escalada de privilegios locales que ha permanecido indetectado durante casi nueve años.

Investigadores de seguridad de la Unidad de Investigación de Amenazas (TRU) de Qualys revelaron que el problema permite que los atacantes exfiltren datos sensibles, incluidas las claves privadas SSH, y ejecuten comandos arbitrarios como root en los sistemas afectados.

El fallo reside en la función __ptrace_may_access() del kernel de Linux, que rige si un proceso puede inspeccionar o interactuar con otro.

Debido a un error de lógica introducido en la versión 4.10-rc1 del kernel de Linux (noviembre de 2016), la función permite incorrectamente el acceso a procesos privilegiados durante una breve ventana de tiempo mientras estos están eliminando credenciales.

Al combinar esta condición de carrera con la llamada al sistema pidfd_getfd(), los atacantes pueden duplicar descriptores de archivo de procesos privilegiados y reutilizarlos bajo su propio contexto no privilegiado.

El fallo del kernel de Linux expone claves SSH

Esto elude eficazmente las comprobaciones de permisos estándar y permite el acceso a recursos sensibles.

Qualys demostró una explotación fiable en múltiples distribuciones predeterminadas de Linux, incluyendo Debian 13, Ubuntu 24.04 y 26.04, y Fedora 43/44.

Se validaron cuatro escenarios de ataque en el mundo real:

• ssh-keysign: Permite la exfiltración de claves privadas del host SSH almacenadas en /etc/ssh/.
  
• change: Permite la revelación de hashes de contraseñas de /etc/shadow.
  
• pkexec: Facilita la ejecución de comandos arbitrarios como root.
  
• accounts-daemon: Permite la escalada de privilegios a través de interacciones con D-Bus.

Aunque está clasificada como una vulnerabilidad local, el impacto es severo. Cualquier atacante con una shell de bajos privilegios, ya sea a través de acceso SSH, cuentas de servicio comprometidas o tuberías de CI/CD, puede escalar hasta obtener acceso total de root.

Esto colapsa eficazmente la frontera entre el acceso limitado y el compromiso total del sistema.

La vulnerabilidad se deriva del manejo incorrecto del estado "dumpable" en __ptrace_may_access().

Cuando un proceso objetivo termina y su descriptor de memoria (mm) se vuelve NULL, el kernel omite comprobaciones de seguridad críticas. El control de acceso entonces recae en el Módulo de Seguridad de Linux YAMA.

Bajo la configuración predeterminada kernel.yama.ptrace_scope = 1, YAMA permite el acceso si el atacante es el proceso padre, que es a menudo el caso de explotación.

Esto habilita la cadena de ataque. Sin embargo, configurar ptrace_scope = 2 impone comprobaciones más estrictas que requieren CAP_SYS_PTRACE, bloqueando eficazmente la ruta del exploit.

Los parches upstream fueron lanzados el 14 de mayo de 2026, poco después de la divulgación responsable.

Las principales distribuciones de Linux, incluyendo Debian, Fedora, Red Hat, SUSE, AlmaLinux y CloudLinux, han emitido actualizaciones de seguridad.

Se te recomienda encarecidamente que:

• Apliques las últimas actualizaciones del kernel inmediatamente.
• Rotes las claves del host SSH y las credenciales sensibles en los sistemas potencialmente expuestos.
• Audites los sistemas en busca de actividad de escalada de privilegios no autorizada.

Como mitigación provisional, puedes forzar en los sistemas:

• kernel.yama.ptrace_scope = 2

Sin embargo, este ajuste puede interrumpir herramientas de depuración como gdb y strace, así como ciertos flujos de trabajo de contenedores o de reporte de errores.

Con exploits públicos circulando ahora y la vulnerabilidad afectando a casi una década de sistemas Linux, la CVE-2026-46333 representa un riesgo crítico que requiere tu atención inmediata en entornos empresariales y de nube.