Investigadores de Anthropic descubrieron una vulnerabilidad crítica en el kernel de Linux (CVE-2026-98432) que permite a atacantes ejecutar comandos como root de forma remota. El fallo afecta a diversas distribuciones como Ubuntu y RHEL, especialmente en servidores con Multipath TCP (MPTCP) activo. Aunque algunas entidades lo consideran un riesgo de denegación de servicio, Anthropic demostró que es posible lograr la ejecución de código mediante el uso de IA.





Investigadores de seguridad de Anthropic han desarrollado un exploit para una vulnerabilidad crítica del kernel de Linux que permite a atacantes no autenticados ejecutar comandos remotamente como root en servidores que ejecutan escuchadores de Multipath TCP (MPTCP).

El fallo, rastreado como CVE-2026-98432, también afecta a las conexiones TCP ordinarias, aunque la ejecución remota de código no se ha demostrado públicamente en servidores sin un escuchador MPTCP.

Multipath TCP (MPTCP) es una función de TCP que permite que una sola conexión utilice múltiples rutas de red al mismo tiempo para mejorar el rendimiento y la fiabilidad. Se utiliza comúnmente en entornos donde los dispositivos tienen múltiples conexiones de red, como Wi-Fi y redes celulares.

CVE-2026-98432 es una vulnerabilidad de use-after-free en el código de red IPv4 TCP del kernel que recibió una puntuación de severidad de 9.8 sobre 10 por parte del equipo de CVE del kernel de Linux.

La vulnerabilidad afecta a los kernels de Linux desde la versión 4.4, incluyendo distribuciones ampliamente utilizadas como Ubuntu, Red Hat Enterprise Linux (RHEL) y Rocky Linux.

Según el aviso del kernel de Linux [enlace], la vulnerabilidad se deriva de una condición de carrera en la forma en que el kernel maneja las solicitudes de conexión TCP, lo que potencialmente causa una condición de use-after-free.

"tcp_v4_syn_recv_sock() transfiere la propiedad de ireq->ireq_opt al socket hijo (newinet->inet_opt) sin copiarlo", dice el aviso.

"Otra cpu puede procesar concurrentemente un SYN retransmitido para el mismo socket de solicitud, y enviar un SYNACK desde tcp_check_req(). tcp_v4_send_synack() e inet_csk_route_req() leen ireq->ireq_opt solo bajo rcu_read_lock(), y ip_build_and_send_pkt() e ip_options_build() leen entonces opt->optlen dos veces".

Un problema similar puede ocurrir durante la migración del socket de solicitud TCP cuando net.ipv4.tcp_migrate_req está habilitado, o se utiliza un programa BPF_SK_REUSEPORT_SELECT_OR_MIGRATE.

Aunque activar la vulnerabilidad no requiere autenticación, Red Hat afirma que explotar la condición de carrera es más complejo que simplemente enviar un paquete de red malicioso.

Red Hat clasifica la vulnerabilidad como un problema potencial de denegación de servicio que podría causar un fallo del kernel, asignándole una puntuación de severidad más baja de 5.9 debido a que la explotación es compleja.

Sin embargo, los investigadores de Anthropic demostraron que la vulnerabilidad podría ser explotada para la ejecución remota de código bajo condiciones específicas.

Un informe de Anthropic [enlace] explicó que un modelo de IA Claude no publicado desarrolló un exploit que evadió la aleatorización del diseño del espacio de direcciones del kernel (KASLR) y ejecutó comandos arbitrarios como root en un servidor Linux que ejecutaba un escuchador MPTCP.

Según Anthropic, el exploit tardó unos 53 minutos en lograr la ejecución remota de código root, demostrando que la vulnerabilidad podría explotarse para más que simples ataques de denegación de servicio.

Si bien MPTCP no suele estar habilitado por defecto en las aplicaciones, algunos softwares lo activan automáticamente.

A partir de Go 1.24, el lenguaje de programación habilita MPTCP por defecto [enlace] para los escuchadores TCP en Linux siempre que el kernel admita la función. Debido a esto, algunos servicios de red basados en Go pueden habilitar escuchadores MPTCP sin que los administradores lo sepan.

Las distribuciones de linux comienzan a lanzar parches

La vulnerabilidad fue corregida en el kernel de Linux upstream y retroportada a las ramas del kernel mantenidas. Sin embargo, las actualizaciones de seguridad aún no se han implementado en todas las distribuciones de Linux afectadas.

Según el rastreador de seguridad de Canonical [enlace], Ubuntu 22.04 LTS, 24.04 LTS, 26.04 LTS y 26.10 siguen siendo vulnerables, con correcciones del kernel en progreso al 30 de octubre.

Red Hat también enumera RHEL 8, 9 y 10 como afectados, con correcciones planificadas para futuras actualizaciones. RHEL 7 no está afectado [enlace] porque su kernel no contiene el código vulnerable.

En la guía de mitigación [enlace], el proveedor de soporte de Rocky Linux, CIQ, confirma que Rocky Linux 8, 9 y 10 también están afectados y compartió protecciones temporales de firewall para los sistemas afectados.

Según el rastreador de seguridad de Debian [enlace], la vulnerabilidad fue corregida en la versión del paquete del kernel 6.1.190-1 para Debian 12 (Bookworm) y 6.12.113-1 para Debian 13 (Trixie). También hay paquetes corregidos disponibles para Debian testing y unstable.

Otros proveedores de Linux, incluidos Oracle Linux, Amazon Linux y SUSE, también han lanzado correcciones para algunas versiones afectadas del kernel.

La vulnerabilidad no afecta a macOS, que utiliza el kernel XNU de Apple en lugar del kernel de Linux.

Se aconseja a los administradores que consulten los avisos de seguridad de su distribución e instalen los paquetes de kernel actualizados a medida que estén disponibles.

Para los sistemas donde los parches aún no están disponibles, restringir el acceso a redes o direcciones IP confiables puede reducir el riesgo.

CIQ también recomienda bloquear temporalmente los paquetes TCP IPv4 que contienen opciones de IP antes de que lleguen al código de procesamiento TCP vulnerable, y compartió ejemplos de reglas de nftables que pueden bloquear este tipo de tráfico.

La empresa advierte que deshabilitar MPTCP por sí solo es insuficiente porque la vulnerabilidad subyacente aún puede activarse a través del tráfico TCP ordinario.

Actualmente no hay informes confirmados de que CVE-2026-98432 esté siendo explotado en entornos reales.

Fuente:
BleepingComputer