NVIDIA ha revelado una vulnerabilidad grave que afecta a sus DPU BlueField y a las plataformas de red ConnectX, la cual podría permitir a los atacantes ejecutar código en los sistemas afectados si se explota con éxito.

Esta vulnerabilidad, identificada como CVE-2026-65094, impacta el componente VIRTIO-Net y tiene una puntuación CVSS v3.1 de 9.0, lo que indica un problema de alto riesgo para los despliegues empresariales y en la nube.

Según el boletín de seguridad de julio de 2026 de NVIDIA, la implementación de BlueField-3 Virtio-Net contiene una vulnerabilidad de escritura arbitraria (write-what-where) CWE-123. Esto permite que un actor malintencionado manipule la memoria escribiendo datos arbitrarios en ubicaciones no deseadas.

Tal vulnerabilidad es particularmente peligrosa porque puede ser explotada para ejecutar código controlado por el atacante, comprometiendo potencialmente la integridad y confidencialidad de los sistemas afectados.

Vulnerabilidad de NVIDIA BlueField

El escenario de ataque implica que un usuario de máquina virtual (VM) con bajos privilegios elabore un mensaje malicioso para activar la vulnerabilidad. Dado que el vector de ataque es adyacente y no requiere interacción del usuario, la explotación puede ocurrir en entornos compartidos o multi-inquilino, como infraestructuras en la nube o centros de datos virtualizados.

Además, la vulnerabilidad implica un cambio de alcance, lo que significa que la explotación podría afectar a recursos más allá del componente inicialmente comprometido, aumentando su gravedad en entornos de producción.

Los investigadores de seguridad señalan que las DPU BlueField se utilizan comúnmente para descargar tareas de red, almacenamiento y seguridad de las CPU del host, lo que las convierte en componentes cruciales en las arquitecturas modernas de centros de datos.

Un compromiso exitoso en esta capa podría permitir a los atacantes eludir los controles de seguridad tradicionales, moverse lateralmente a través de las cargas de trabajo o interrumpir el procesamiento del tráfico de red.

Esto incrementa el riesgo para las organizaciones que dependen en gran medida de las soluciones de red de NVIDIA para la computación de alto rendimiento y los entornos nativos de la nube.

La vulnerabilidad afecta a múltiples versiones de NVIDIA VIRTIO-Net, incluyendo tanto las versiones de disponibilidad general como las de soporte a largo plazo.

Específicamente, están afectadas todas las versiones anteriores a la 25.10.6 para VIRTIO-Net GA, la 25.10.2 para LTS25, la 24.10.50 para LTS24 y la 23.10.23 para LTS23.

NVIDIA ha publicado versiones parcheadas para solucionar el problema y recomienda encarecidamente que las organizaciones actualicen inmediatamente para mitigar una posible explotación.

NVIDIA enfatizó que su evaluación de riesgo es un promedio entre varios despliegues y puede no representar totalmente los niveles de exposición de entornos específicos.

Se aconseja a las organizaciones que evalúen su infraestructura, especialmente cuando máquinas virtuales o inquilinos no confiables puedan acceder a recursos de red compartidos. La vulnerabilidad fue descubierta internamente por NVIDIA y, hasta la fecha de divulgación, no se ha informado de ninguna explotación activa.

Sin embargo, dada la naturaleza crítica de las vulnerabilidades de escritura arbitraria y su historial de explotación en ataques reales, los equipos de seguridad deben priorizar la resolución de este problema.

Puedes obtener las últimas actualizaciones a través del portal oficial de seguridad de productos de NVIDIA y los canales de distribución de DOCA VIRTIO-Net. Para reducir el riesgo de compromiso, se recomienda aplicar los parches, restringir el acceso a las VM no confiables y monitorear cualquier comportamiento inusual de la red como parte de una estrategia de defensa en capas.