Se ha descubierto una vulnerabilidad en el kernel de Linux llamada Bad Epoll (CVE-2026-46242) que permite a usuarios comunes obtener acceso root en computadoras y dispositivos Android. El fallo es un error de memoria difícil de detectar, que incluso fue ignorado por modelos de IA avanzados, aunque ya existe una corrección disponible. Debido a que afecta una función esencial del sistema, la única solución es actualizar el kernel.





Un fallo del kernel de Linux recientemente revelado llamado Bad Epoll (CVE-2026-46242) permite que un usuario común sin acceso especial tome el control total de una máquina como root. Afecta a escritorios Linux, servidores y Android, y ya hay una solución disponible.

Bad Epoll se encuentra en el mismo pequeño tramo de código del kernel donde el modelo de IA más potente de Anthropic, Mythos, encontró recientemente un error diferente.

La IA detectó un fallo y pasó por alto este. Un investigador, Jaeyoung Chung, lo encontró y creó un ataque funcional.

Cómo funciona el error

Epoll es una función estándar de Linux que permite a un programa vigilar muchos archivos o conexiones de red a la vez. Los servidores, los servicios de red y los navegadores web dependen de ello. No puedes simplemente desactivarlo.

Bad Epoll es un error de "use-after-free" (uso después de liberar). Dos partes del kernel intentan limpiar el mismo objeto interno al mismo tiempo. Uno libera la memoria mientras el otro todavía está escribiendo en ella. Esa breve colisión permite a un atacante corromper la memoria del kernel y luego subir desde una cuenta normal hasta root.

La clave es la sincronización. La ventana donde las dos rutas colisionan tiene solo unas seis instrucciones de máquina de ancho, por lo que un intento aleatorio casi nunca acierta. El exploit de Chung amplía esa ventana y reintenta sin bloquearse, logrando root aproximadamente el 99% de las veces en los sistemas probados.

Dos cosas lo hacen más peligroso: según su relato, puede activarse desde el sandbox del renderizador de Chrome, que bloquea casi cualquier otro error del kernel, y puede alcanzar a Android, algo que la mayoría de los errores de privilegios de Linux no pueden hacer.

Chung envió el fallo como un zero-day al programa kernelCTF de Google, y los detalles técnicos completos están en su escrito público. No hay indicios de que haya sido utilizado en ataques reales: al momento de escribir esto, no está en la lista de Vulnerabilidades Explotadas Conocidas de CISA, y el único código funcional es esa prueba de concepto de kernelCTF. Una versión del exploit para Android todavía está en proceso.

Ambos errores se remontan a un único cambio de 2023 en el código de epoll. Chung dice que Mythos encontró el primero de los dos, ahora rastreado como CVE-2026-43074, con una solución lanzada a principios de 2026.

Anthropic ha dicho por separado que Mythos encontró errores de escalada de privilegios en el kernel de Linux [(enlace)], aunque no ha vinculado públicamente ese trabajo con Bad Epoll. Encontrar el primero fue un resultado real, porque los errores de condición de carrera son notoriamente difíciles de detectar.

Entonces, ¿por qué la misma IA pasó por alto el fallo hermano? Chung ofrece dos razones probables y aclara que nadie puede estar seguro.

* Primero, la ventana de tiempo es diminuta, por lo que la secuencia exacta de eventos es difícil de imaginar incluso mirando el código.
* Segundo, hay poca evidencia durante la ejecución.

Una vez parcheado el primer error, el fallo de memoria de Bad Epoll normalmente no activa KASAN, el principal detector de errores del kernel, por lo que nada indica que algo esté mal.

Epoll no se puede desactivar, así que no hay una solución alternativa. Aplica el commit upstream a6dc643c6931 o instala el backport de tu distribución cuando llegue. Los kernels basados en la versión 6.4 o posteriores están afectados a menos que ya tengan el parche.

Los kernels más antiguos basados en 6.1, incluidos algunos teléfonos Android como el Pixel 8, no están afectados porque el error apareció en la 6.4.

Un mal año para el kernel de linux

Bad Epoll se une a una familia bien conocida de errores del kernel utilizados para rootear Android, siguiendo a entradas anteriores llamadas Bad Binder, Bad IO_uring y Bad Spin.

También llega en un periodo intenso de fallos de privilegios de Linux, aunque la mayoría de los recientes funcionan de manera diferente. Copy Fail (CVE-2026-31431) llegó en abril y ahora está en la lista de Vulnerabilidades Explotadas Conocidas de CISA. La cadena Dirty Frag, Fragnesia, DirtyClone y pedit COW vinieron después.

Ambos son errores deterministas de escritura de caché de página, como Dirty Pipe (2022), sin carreras que ganar, lo que los hace mucho más fiables de ejecutar. Bad Epoll es del tipo más antiguo y difícil: una carrera que tienes que ganar, como Dirty Cow (2016).

También ha aparecido una prueba de concepto pública para CVE-2026-31694, un fallo independiente en el código del sistema de archivos FUSE del kernel, encontrado por la firma de investigación impulsada por IA Bynario. Un usuario local con acceso a FUSE puede alimentar al kernel con un sistema de archivos malicioso y corromper la memoria.

Dependiendo de la configuración, eso puede significar acceso root, fugas de datos o un bloqueo del sistema. Debido a que ese acceso es común en contenedores y namespaces de usuario, se presenta más como un riesgo para servidores y contenedores que para teléfonos.

Bynario no es la única. Mythos también encontró y explotó un error de ejecución remota de código de 17 años en el servidor NFS de FreeBSD (CVE-2026-4747), y los investigadores de Anthropic han utilizado sus modelos para sacar a la luz otros fallos del kernel.

Bad Epoll es un contrapunto útil. Demuestra que las condiciones de carrera son difíciles en cada etapa: difíciles de encontrar, incluso para una IA líder; difíciles de corregir, ya que el primer parche fue insuficiente y uno correcto tardó unos dos meses; y difíciles de explotar, a través de una ventana de solo seis instrucciones. Por ahora, el error que una IA ignora sigue siendo el que una persona tiene que capturar.

Fuente:
THN