Veeam ha alertado sobre una vulnerabilidad crítica en el núcleo de Linux (CVE-2026-98432) con una puntuación CVSS de 9.8. Este fallo de tipo "use-after-free" en la configuración de conexiones TCP/IPv4 podría provocar corrupción de memoria o la denegación del servicio en sus productos de respaldo y recuperación. La empresa ya ha detallado las rutas de actualización para los sistemas afectados.

Veeam advirtió que un fallo crítico del núcleo de Linux con una puntuación CVSS de 9.8 podría causar una denegación de servicio o la corrupción de la memoria en los productos de copia de seguridad y recuperación.

La declaración de impacto de Veeam del 6 de noviembre identificó una vulnerabilidad de uso posterior a la liberación (use-after-free) del núcleo de Linux (CVE-2026-98432) en la configuración de la conexión TCP/IPv4 y detalló las rutas de actualización para los sistemas afectados.

Su aviso de seguridad no reporta una explotación activa ni confirma la ejecución remota de código. Los riesgos indicados podrían interrumpir el trabajo de copia de seguridad y restauración si un dispositivo afectado deja de estar disponible.

Los productos afectados incluyen Veeam Software Appliance 13.1 y Veeam Infrastructure Appliance 13.1. Las funciones de infraestructura incluyen proxies de copia de seguridad, repositorios endurecidos, servidores de montaje, puertas de enlace y componentes de Cloud Connect. Los trabajadores desplegados a través de los plug-ins del hipervisor de Veeam también necesitan el núcleo actualizado.

Veeam advierte sobre un fallo crítico del núcleo de Linux

Las instalaciones de Veeam Backup & Replication basadas en Windows también requieren tu atención porque despliegan dispositivos auxiliares de Linux. Estos dan soporte a la recuperación de archivos, laboratorios virtuales y restauraciones en la nube. El aviso enumera los dispositivos auxiliares afectados en las versiones 13.1 y 12.3, en lugar de identificar el núcleo de Windows como vulnerable.

Esta revelación sigue a los correcciones independientes de omisión de autorización de Veeam y a las actualizaciones de seguridad anteriores de Backup & Replication. Esos problemas tienen causas y requisitos de parcheo diferentes, por lo que no debes asumir que las actualizaciones anteriores del producto resuelven este fallo del núcleo.

Veeam afirma que un núcleo parcheado ha estado disponible para Software Appliance e Infrastructure Appliance 13.1 desde el 2 de noviembre. El paquete corregido es 5.14.0-570.60.1+27.2.el9_6_ciq, entregado a través de Veeam Updater.

Puedes instalar las actualizaciones disponibles desde la consola de gestión de host de Veeam sin esperar a la programación automática. Es posible que sea necesario reiniciar el sistema.

El actualizador verifica los repositorios cada 12 horas. Bajo la configuración predeterminada, las actualizaciones obligatorias se instalan el domingo más cercano a las 14:00 en la zona horaria del servidor de copia de seguridad.

Deberías revisar el historial de actualizaciones para confirmar la instalación. Los sistemas que utilizan un espejo de repositorio local reciben el paquete solo después de que dicho espejo se sincronice.

Para despliegues en Windows, la corrección privada 13.1 requiere Backup & Replication 13.1.2.57. Los medios de instalación empaquetados de la versión 13.1.2 incluyen la corrección.

El aviso de Veeam del 6 de noviembre dice que la corrección privada para la versión 12.3 estará disponible pronto. Los dispositivos auxiliares temporales reciben imágenes actualizadas cuando se despliegan de nuevo.

Al mismo tiempo, los laboratorios virtuales persistentes y los dispositivos auxiliares de Microsoft Azure deben volver a desplegarse. Reemplaza los medios de recuperación creados antes de la actualización. Los trabajadores del plug-in del hipervisor reciben el núcleo actualizado en su próximo inicio.

Los dispositivos de plug-in de AWS, Azure y Google Cloud reciben actualizaciones del núcleo de Ubuntu a través de Veeam Updater. Deberías instalar las actualizaciones disponibles y revisar el rastreador de CVE de Ubuntu para conocer el estado del paquete.

Las imágenes de contenedor de Veeam Kasten no incluyen un núcleo, pero sus nodos de Kubernetes aún necesitan verificaciones del proveedor. Los proxies, repositorios y puertas de enlace de Linux gestionados por el cliente también requieren actualizaciones de la distribución. Completar estas verificaciones independientes ayuda a que tu equipo evite dejar componentes de recuperación sin parchear después de actualizar el dispositivo principal.