El laboratorio FORGE de Microsoft utilizó un sistema de escaneo impulsado por IA para encontrar 59 errores de seguridad en el kernel de Linux. Algunos de ellos pasaron desapercibidos durante más de 20 años.

Hasta ahora, el trabajo ha dado lugar a 33 CVE asignados, y Microsoft confirmó exploits funcionales de escalada de privilegios de root para ocho de ellos.

El equipo utilizó una herramienta con el nombre en código MDASH. Esta escaneó áreas seleccionadas del kernel desde finales de mayo hasta mediados de junio de 2026, y un investigador a tiempo completo junto con un pasante lideraron el esfuerzo de tres meses.

Las correcciones para 38 de los informes ya se han fusionado en el kernel principal de Linux. Los resultados se suman a un año intenso para la seguridad del kernel.

Otros equipos también han demostrado lo rápido que la IA puede encontrar puntos débiles, como el modelo GPT-6 Cyber de OpenAI, que creó cientos de exploits funcionales para Linux. El informe de Microsoft es diferente porque también muestra cuánta labor humana es necesaria después de que la IA termina.

Los investigadores de Microsoft identificaron los fallos y describieron el proceso en una publicación de blog titulada “Lecciones de 59 informes de errores del kernel de Linux”. Señalaron que encontrar los errores es la parte fácil; lograr que se confirmen, expliquen y solucionen lleva mucho más tiempo.

Microsoft descubre 59 errores de seguridad en el kernel de Linux

MDASH produjo 26,502 hallazgos brutos en aproximadamente dos semanas, ejecutándose en dos servidores. Muchos de estos eran pistas débiles o falsos positivos, por lo que el equipo filtró las afirmaciones de baja confianza mediante niveles de confianza y agentes de cribado adicionales.

Eso redujo el grupo a 11,769 candidatos. A continuación, agentes de IA intentaron reproducir cada candidato en un entorno de prueba llamado QEMU. Expertos revisaron entonces los 621 casos que tenían evidencia de prueba de concepto.

Buscaron las causas raíz, fusionaron duplicados y prepararon informes para la comunidad de Linux. El escaneo de código utilizó principalmente Sonnet 4.6, GPT-5.4 y GPT-5.5. La reproducción utilizó mayormente GPT-5.5, junto con Opus 4.6 y GPT-5.5-cyber.

Solo 59 de los 621 casos (9.5%) se convirtieron en informes públicos. Unos 266 compartían una causa raíz con otro caso, por lo que un solo parche podía solucionarlos todos juntos.

Otros 163 fueron descartados, principalmente porque su impacto en la seguridad era bajo. Otros 133 ya habían sido reportados o solucionados por alguien más.

Los errores eran antiguos. En promedio, un error reportado había estado en el kernel durante 8.1 años. Seis tenían entre 15 y 19 años, y tres tenían al menos 20 años.

El más antiguo, un error de desplazamiento fuera de límites en cls_u32 rastreado como CVE-2026-74544, había estado allí durante al menos 21 años. Errores similares ocultos durante mucho tiempo han aparecido antes, como el fallo GhostLock del kernel de Linux que pasó inadvertido durante unos 15 años.

Dentro de CVE-2026-64563 y los ocho fallos explotables

De los 33 CVE asignados hasta ahora, 24 están calificados como "Alto" o superior, lo que significa una puntuación CVSS v3.1 de 7.0 o más. Los ocho con exploits locales de root confirmados fueron probados en entornos de laboratorio.

Algunos de ellos requerían configuraciones no predeterminadas o protecciones desactivadas. La mayoría son errores de "uso después de liberación" (use-after-free), donde el kernel sigue utilizando la memoria después de que ha sido liberada.

Microsoft analizó más a fondo el CVE-2026-64563, un error de una sola línea en rhashtable, la tabla hash redimensionable compartida del kernel. Un cambio de 2018 mantenía un puntero guardado cuando un recorrido de la tabla se pausaba, pero una ruta de reanudación olvidaba borrarlo.

• https://www.microsoft.com/en-us/security/blog/2026/11/11/lessons-from-59-linux-kernel-bug-reports/

Si la tabla se redimensionaba y la entrada se liberaba mientras tanto, el kernel leía posteriormente memoria liberada. El error permaneció oculto durante ocho años porque tres eventos raros tenían que alinearse en el mismo recorrido.

La mayoría del código termina un recorrido en una sola pasada, por lo que el problema casi nunca aparecía por accidente. La corrección oficial es una sola línea que borra el puntero obsoleto.

El riesgo depende de qué código llame a la librería. El llamador explotable son los diagnósticos de socket Netlink, a los que los usuarios sin privilegios pueden acceder en kernels estándar.

Un usuario local podría mantener un listado pausado, liberar el socket y plantar un puntero falso. Eso permite una escritura limitada de 64 bits, lo cual es suficiente para la escalada de privilegios en Linux y en Android con SELinux activado.

Yuan Tan y Frank Wu de NebuSec también trabajaron en este error, y Tan lo encontró de forma independiente. Si quieres contexto sobre cómo se abusan estos errores, puedes leer sobre el error de escalada de privilegios de nftables, que también permitía el acceso root a través de un use-after-free.

Estos errores requieren acceso local. Los atacantes suelen obtenerlo primero mediante credenciales robadas u otro servicio débil. Microsoft afirma que encontrar y solucionar errores están muy desequilibrados. Reportar 59 casos tomó más de cuatro meses-persona.

Cinco meses después, solo se habían fusionado 38 correcciones. La mitad fueron aceptadas al primer intento y el resto requirieron de una a cuatro revisiones. Desde el primer parche público hasta un lanzamiento principal pasó una mediana de 41 días, y hasta 108 días.

Los mantenedores de Linux suelen querer un parche funcional con cada informe. Los agentes de IA ayudaron a redactar las primeras correcciones, pero las personas aún tuvieron que revisarlas y trabajar con los mantenedores.

Microsoft advierte que demasiados hallazgos reales pueden abrumar tanto a los cazadores de errores como a los mantenedores, por lo que los equipos deben centrarse en los problemas de alta gravedad. El equipo también escaneó solo una pequeña parte del kernel, por lo que es probable que queden más errores.