Investigadores publicaron un exploit para la vulnerabilidad CVE-2026-23111 en el núcleo de Linux, la cual permite a usuarios locales sin privilegios obtener permisos de root y escapar de contenedores. El fallo se encuentra en el código de filtrado de paquetes nf_tables y afecta a diversas distribuciones como Ubuntu, Debian y RHEL. Se recomienda actualizar el kernel y reiniciar los sistemas inmediatamente para mitigar este riesgo.

Investigadores de seguridad han publicado un exploit detallado y funcional para un error de use-after-free en el kernel de Linux que permite a un usuario local sin privilegios escalar a root y escapar de un contenedor.

El fallo, CVE-2026-23111, se encuentra en el código de filtrado de paquetes nf_tables del kernel y fue parcheado en el repositorio oficial el 5 de febrero de 2026. Exodus Intelligence publicó su análisis técnico completo el 8 de junio, y ni siquiera es el primer exploit público: FuzzingLabs publicó una reproducción independiente ya en abril.

El fallo se debía a un único carácter erróneo, una comprobación invertida en nf_tables, y la corrección upstream lo eliminó en una sola línea. Ubuntu califica el fallo con un CVSS 7.8 (alto). Si el paquete del kernel de tu distribución aún no incluye la corrección, actualiza y reinicia.

La configuración necesaria es común: nf_tables más espacios de nombres de usuario sin privilegios, una función de Linux que permite que una cuenta ordinaria actúe como root dentro de un sandbox privado y acceda a código del kernel que de otro modo no podría.

Ambos vienen activados por defecto en la mayoría de los escritorios y muchas configuraciones de servidor. No hay un vector remoto por sí solo. Este es un bug al que un atacante recurre tras conseguir un punto de apoyo, convirtiendo una shell de bajos privilegios, un contenedor comprometido o una cuenta de servicio en root en el host.

El investigador de Exodus, Oliver Sieber, quien encontró el bug a principios de 2025, lo encadenó para lograr un root local completo. El exploit activa el use-after-free, evade las protecciones de memoria integradas del kernel y luego toma el control de la ejecución para concederse privilegios de root y escapar del espacio de nombres del contenedor.

Lo demostró en Debian Bookworm, Debian Trixie, Ubuntu 22.04 LTS y Ubuntu 24.04 LTS.

FuzzingLabs reprodujo el bug en RHEL 10 antes del Pwn2Own Berlín 2026, creando su propio exploit de root mediante una ruta diferente. El cronograma es ajustado: la corrección se lanzó el 5 de febrero, FuzzingLabs publicó el 16 de abril y el informe detallado de Exodus llegó el 8 de junio.

La técnica está ahora documentada en Debian, Ubuntu y Red Hat. Debido a que el bug está en la línea principal, cualquier distribución que haya enviado un kernel vulnerable con ambas funciones habilitadas está expuesta, a menos que el endurecimiento de la distribución o las restricciones de espacio de nombres bloqueen el camino.

CVE-2026-23111 llega en medio de una racha intensa de revelaciones de root local en Linux. Semanas recientes han traído Copy Fail, la cadena Dirty Frag, su variante Fragnesia, DirtyDecrypt y un fallo de ptrace de nueve años que lee /etc/shadow y ejecuta comandos como root.

Difieren en los detalles, pero comparten la parte que debería preocuparte: un punto de apoyo sin privilegios sigue convirtiéndose en root en instalaciones ordinarias.

Actualiza el kernel y reinicia. El bug es solo local y necesita espacios de nombres de usuario sin privilegios, así que céntrate primero en los sistemas que permiten que usuarios o cargas de trabajo no confiables los creen.

 echo 1 > /proc/sys/kernel/modules_disabled

Ubuntu tiene correcciones para 22.04, 24.04 y 25.10, y Debian corrigió Bookworm y Trixie, con un backport 6.1 para Bullseye LTS. Red Hat, SUSE y Amazon Linux también siguen el fallo; consulta el aviso de tu distribución para el paquete de kernel que coincida con el tuyo, ya que la versión exacta corregida varía. La corrección upstream fue una sola línea de código.

Hay un panorama más amplio. En una revisión reciente sobre el aumento de LPE (elevación de privilegios locales), Synacktiv vincula el ritmo a la investigación asistida por IA y al análisis de diferencias de parches que publican exploits funcionales antes de que las correcciones se difundan, y sostiene que el endurecimiento ordinario sigue ganando tiempo a los defensores.

La mayoría de estos bugs se apoyan en funciones opcionales del kernel o valores predeterminados laxos, por lo que cortar el acceso de los usuarios sin privilegios (en este caso, los espacios de nombres de usuario) detiene el exploit hasta que el parche esté instalado.

No hay informes públicos de explotación real, y ningún actor de amenazas ha sido vinculado a ello. El parche está disponible desde febrero y el código del exploit es público desde abril.

Fuente:
THN