Falla de Linux da root remoto con MPTCP y Ubuntu y Red Hat aún no la corrigen

Una falla en el núcleo de Linux, CVE-2026-98432, permite a un atacante sin credenciales ejecutar comandos como rootUsuario con todos los permisos en sistemas Linux y Unix, también llamado superusuario. Quien obtiene acceso como root controla el equipo por completo. en servidores que aceptan conexiones Multipath TCP (MPTCP), según el exploitPrograma, fragmento de código o técnica que aprovecha una vulnerabilidad de un sistema para lograr un efecto no previsto, como tomar el control o acceder a datos. de investigación que Anthropic describió el 27 de octubre en su informe sobre fallas halladas con Claude. Al 30 de octubre, Ubuntu y Red Hat Enterprise Linux todavía no habían publicado núcleos corregidos, según BleepingComputer y CSO Online.

La falla está en la pila TCP de IPv4 de los núcleos desde la versión 4.4, y no depende solo de MPTCP.

Qué es la falla

En simple, cuando el servidor procesa a la vez dos pedidos de conexión repetidos, el núcleo puede liberar una porción de memoria mientras otra parte del sistema todavía la usa. Un atacante que acierta ese instante puede leer memoria del núcleo y después desviar su ejecución.

En la capa técnica es un uso de memoria ya liberada (use-after-freeError de manejo de memoria en el que un programa sigue usando un espacio de memoria que ya liberó; un atacante puede aprovecharlo para bloquear el programa o hacerle ejecutar código no previsto.) causado por una condición de carreraFalla que aparece cuando el resultado de un programa depende del orden o el momento en que ocurren dos operaciones. Un atacante aprovecha el instante entre que el sistema revisa algo y lo usa para cambiarlo. en ip_options_build(), que se dispara con paquetes SYN que llevan opciones de IPv4, según la ficha de NVD y el aviso de CIQ, la empresa que da soporte a Rocky Linux. No exige autenticación ni interacción del usuario. Anthropic contó que su prueba de conceptoCódigo o demostración que muestra que una vulnerabilidad puede aprovecharse en la práctica, sin ser necesariamente una herramienta de ataque completa., escrita con Claude, tardó 48 minutos en filtrar una dirección de memoria del núcleo y otros cinco en ejecutar un comando como root. Un intento fallido solo corta la conexión, sin tirar el sistema, así que el atacante puede reintentar sin límite.

MPTCP es una extensión de TCP que usa varias redes a la vez en una misma conexión. No viene activa por defecto, pero el equipo de seguridad de Go advirtió que desde Go 1.24 los programas escritos en ese lenguaje la activan por defecto en sus puertos de escucha en Linux.

Las fuentes no coinciden en la gravedad

El equipo de CVE del núcleo le dio 9,8 sobre 10, el puntaje que muestra NVD y que también usa Ubuntu. Red Hat la había calificado con 5,9, como un riesgo de caída del sistema por la complejidad del ataque, según BleepingComputer. Al cierre de esta nota, la ficha de Red Hat muestra un puntaje provisorio de 8,1, con complejidad alta, y sigue describiendo el impacto principal como una caída o una posible corrupción de memoria. SUSE también le asigna 8,1. La diferencia está en cuánto pesa la dificultad de ganar la carrera. El exploit de Anthropic muestra que, con un puerto MPTCP expuesto, el resultado es el control total, mientras que en TCP común la ejecución remota no está demostrada.

A quién afecta

• Núcleos desde 4.4 sin la corrección. Las versiones estables corregidas son 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 y 7.3-rc7, según CSO Online.
• Ubuntu 22.04, 24.04, 26.04 y 26.10 tienen la corrección preparada pero sin publicar, y las versiones 16.04, 18.04 y 20.04 la tienen pendiente, según el rastreador de Ubuntu al 30 de octubre.
• Red Hat Enterprise Linux 8, 9 y 10 y OpenShift 4 y 5 figuran como afectados y sin parche. RHEL 6 y 7 no están afectados.
• Rocky Linux 8, 9 y 10 están afectados y sin núcleo corregido al 30 de octubre, según CIQ.
• Debian 12 y 13 están corregidos con los paquetes 6.1.190-1 y 6.12.113-1, según el rastreador de Debian. SUSE publicó correcciones el 29 de octubre, y Oracle Linux y Amazon Linux tienen arreglos para algunas versiones, según BleepingComputer.

Estado de explotación

Sin explotación conocida. Ninguna fuente reporta ataques reales y la falla no figura en el catálogo de vulnerabilidades explotadas de CISA, la agencia de ciberseguridad de Estados Unidos, en su versión del 30 de octubre. Lo que existe es el exploit de investigación descrito por Anthropic.

Qué hacer

• Instalar el núcleo corregido de la distribución apenas esté disponible y reiniciar el servidor.
• Mientras tanto, CIQ propone una regla de nftables que descarta los paquetes TCP de IPv4 con opciones antes de que lleguen a la pila, ip hdrlength gt 5 meta l4proto tcp counter drop. Conviene probarla primero en un equipo que no sea de producción, porque también bloquea tráfico legítimo con opciones.
• Desactivar MPTCP con sysctl -w net.mptcp.enabled=0, o con GODEBUG=multipathtcp=0 en programas Go, reduce la exposición al exploit conocido pero no alcanza. CIQ y el equipo de Go advierten que la falla también se alcanza con TCP común.
• Limitar el acceso a los servicios expuestos a redes y direcciones de confianza.

Ficha técnica

• CVE-2026-98432, publicado el 15 de octubre de 2026.
• CVSS 3.1 de 9,8 según el equipo de CVE del núcleo, vector AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Red Hat (provisorio) y SUSE le dan 8,1, con AC:H.
• CWE-825 según Red Hat (referencia a memoria expirada).
• Funciones afectadas: ip_options_build(), inet_sock_destruct() y tcp_v4_reqsk_destructor(). La corrección pasa a liberar la memoria con kfree_rcu().
• Versiones corregidas: las estables listadas arriba y los paquetes de cada distribución.
• Alta en el catálogo KEVcatálogo de vulnerabilidades explotadas conocidas (KEV) Lista pública de la Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) que reúne vulnerabilidades con evidencia de explotación activa, para que se prioricen al corregir. de CISA: no figura al 30 de octubre de 2026.