Ubuntu ha implementado correcciones preliminares para la vulnerabilidad CVE-2026-98432 en sus versiones 22.04 LTS y posteriores. Se trata de un fallo grave en el kernel de Linux que podría permitir a un usuario remoto ejecutar comandos como root sin necesidad de iniciar sesión ni de ninguna acción por parte del usuario. Debido a que los parches aún se encuentran en fase de pruebas, muchos servidores siguen siendo vulnerables.

Ubuntu ha publicado correcciones preliminares del kernel para la CVE-2026-98432 en su repositorio -proposed para la versión 22.04 LTS y lanzamientos más recientes. El error es un fallo grave del kernel de Linux que puede permitir que un usuario remoto ejecute comandos como root sin necesidad de iniciar sesión ni de ninguna acción por parte del usuario. Los parches aún están en fase de pruebas, por lo que muchos servidores siguen expuestos por ahora.

 

El equipo de seguridad de Canonical afirma que el fallo reside en cómo el kernel de Linux configura las conexiones TCP IPv4, y afecta a las versiones del kernel 4.4 y posteriores. Las compilaciones corregidas son la 5.15.0-203.213 para Jammy (22.04), la 6.8.0-149.149 para Noble (24.04) y la 7.0.0-43.43 para Resolute (26.04). Stonking (26.10) ya está corregida en la 7.3.0-10.10, y Trusty (14.04) no se ve afectada. Las correcciones para Xenial, Bionic y Focal aún están pendientes.

Versión	Paquete	Estado del parche	Versión del kernel corregida
Trusty (14.04)	linux	No afectada	No aplicable
Xenial (16.04)	linux	Corrección pendiente	Aún no lanzada
Bionic (18.04)	linux	Corrección pendiente	Aún no lanzada
Focal (20.04)	linux	Corrección pendiente	Aún no lanzada
Jammy (22.04 LTS)	linux	Corrección disponible en -proposed	5.15.0-203.213
Noble (24.04 LTS)	linux	Corrección disponible en -proposed	6.8.0-149.149
Resolute (26.04 LTS)	linux	Corrección disponible en -proposed	7.0.0-43.43
Stonking (26.10)	linux	Corregido	7.3.0-10.10

Canonical realiza pruebas en más de 2.000 servidores y dispositivos certificados antes de mover un kernel al repositorio de actualizaciones. Si tú formas parte de un equipo que realiza sus propias pruebas de aceptación, puedes instalar las compilaciones preliminares hoy mismo, tal como se describe en la nueva estrategia de SRU de Canonical para correcciones de CVE más rápidas.

El seguimiento de la CVE-2026-98432 de Ubuntu califica el error con un 9.8, lo cual es Crítico. Su propia entrada de blog califica la misma puntuación como "Alta", por lo que podrías ver ambas etiquetas. El registro fue publicado el 15 de octubre de 2026.

El error es un use-after-free. En términos sencillos, el kernel sigue utilizando una parte de la memoria después de haberla liberado. Una CPU libera las opciones de IP de una nueva conexión. Otra CPU, que maneja un paquete SYN repetido, todavía las lee mientras construye una respuesta. La corrección oficial retrasa esa liberación con kfree_rcu(), para que los lectores terminen primero.

El Frontier Red Team de Anthropic compartió su investigación el 27 de octubre de 2026. Indica que un modelo de Claude no lanzado escribió un exploit funcional tras el primer prompt. El exploit apunta a servidores Linux con un oyente de TCP de rutas múltiples (MPTCP).

Funciona en dos etapas. Primero, hace que el kernel devuelva bytes adicionales que pueden contener un puntero del kernel, lo que anula el KASLR, una defensa que oculta dónde se encuentra el código del kernel. Segundo, sobrescribe un puntero de retorno (callback) para que el kernel ejecute una carga útil y termine en un comando de shell como root.

Perder una "carrera" (race condition) solo hace que falle el saludo (handshake) y no provoca que la máquina se bloquee, por lo que el atacante puede reintentarlo. En la prueba, la filtración tardó 48 minutos y el acceso al shell tomó cinco más.

Un informe anterior sobre cómo Claude construye cadenas de exploits para Chrome y Linux muestra cómo esto encaja en un patrón más amplio. El exploit de Anthropic no ha sido publicado. También indican que se trató de una prueba de laboratorio y no de un incidente en el mundo real.

 

 

Signos de Escaneo en el Mundo Real

El investigador Marcus Hutchins dice que su equipo ha visto lo que parecen ser actores de amenazas escaneando todo el internet en busca de sistemas afectados. En una publicación en X, informa que proxies residenciales y servidores VPN basados en Rusia comenzaron a sondear el puerto 443 con conexiones MPTCP a partir del 2 de noviembre.

Los escáneres normales no utilizan MPTCP por defecto, por lo que sospecha fuertemente que esta actividad apunta a la CVE-2026-98432. Su escaneo del 30 de octubre encontró unos 2.102.043 servidores accesibles a través de MPTCP en el puerto 443.

Un escaneo TLS más profundo encontró unos 762.774. Afirma que no es necesaria una solicitud HTTP válida, por lo que la exposición real probablemente esté más cerca de los 2,1 millones. Estas cifras solo muestran la exposición y no prueban que los kernels no estén parcheados.

Aún no existe un exploit público de ejecución remota de código. Existen varias pruebas de concepto de denegación de servicio, que dan a los atacantes un punto de partida.

Actualización sobre la RCE TCP/IP con CVSS 9.8 en el kernel de Linux (CVE-2026-98432): hemos detectado lo que parece ser actividad de un actor de amenazas escaneando todo el internet en busca de sistemas afectados expuestos. Nuestro propio escaneo también sugiere que el número de objetivos potenciales es alto, por lo tanto…

— Marcus Hutchins (@MalwareTechBlog) 3 de noviembre de 2026

Algunas personas asumieron que los oyentes MPTCP eran raros. Hutchins señala que Debian y varios otros kernels habilitan MPTCP por defecto. Go 1.24 y versiones posteriores también vinculan sockets MPTCP cuando el kernel lo permite, por lo que las herramientas creadas en Go, como Caddy, crean el oyente necesario.

Ubuntu enfatiza que el fallo en sí no está ligado a MPTCP, y que el vínculo con MPTCP proviene únicamente del exploit de Anthropic. El equipo de seguridad de Ubuntu dice que las actualizaciones son la única solución adecuada. Hutchins añade que configurar net.mptcp.enabled=0 no cierra los sockets que ya están abiertos, por lo que esas aplicaciones deben reiniciarse. Puedes listar los oyentes MPTCP con sudo ss -Mlnp.

Para Administradores

Ejecuta uname -r y compara el resultado con las versiones corregidas mencionadas arriba. La guía de Ubuntu para habilitar el repositorio -proposed explica cómo obtener el nuevo kernel; recuerda que después será necesario reiniciar. Los paquetes en -proposed no se eligen para actualizar por defecto, por lo que debes nombrar el repositorio al instalar.

Para los hosts que no pueden actualizarse todavía, el seguimiento de Ubuntu enumera una regla de nftables que descarta los paquetes TCP IPv4 entrantes que llevan opciones de IP. Esto reduce el riesgo pero no evita completamente la explotación, y rompe cualquier conexión que dependa de las opciones de IP.

Ubuntu 20.04 LTS y versiones anteriores necesitan Ubuntu Pro. Focal y Bionic entran en el Mantenimiento de Seguridad Expandido, mientras que Xenial y Trusty necesitan el complemento Legacy. Ubuntu Pro es gratuito para hasta cinco máquinas.

Fuentes:
https://cybersecuritynews.com/linux-kernel-rce-flaw-ubuntu-fixes/