Red Hat parcha la falla crítica de Linux que da root remoto y Ubuntu aún no

Red Hat publicó el domingo 1 de noviembre núcleos corregidos para CVE-2026-98432, la falla de Linux que permite tomar el control de un servidor como rootUsuario con todos los permisos en sistemas Linux y Unix, también llamado superusuario. Quien obtiene acceso como root controla el equipo por completo. sin credenciales. Los cuatro avisos salieron entre las 20:52 y las 22:16 UTC (de 17:52 a 19:16 en Buenos Aires, São Paulo y Santiago, de 15:52 a 17:16 en Bogotá y Lima y de 14:52 a 16:16 en Ciudad de México): RHSA-2026:93414 para RHEL 8, RHSA-2026:93412 para RHEL 9, RHSA-2026:93413 para RHEL 10 y RHSA-2026:93415 para el núcleo de tiempo real de RHEL 8. Ubuntu todavía no publicó su corrección.

Cuando LatamByte publicó la alerta sobre esta falla, el 30 de octubre, ninguno de los dos tenía parche. Lo que sigue es información de los propios proveedores, sin una segunda fuente independiente.

Qué es la falla

Es un uso de memoria ya liberadaError de manejo de memoria en el que un programa sigue usando un espacio de memoria que ya liberó; un atacante puede aprovecharlo para bloquear el programa o hacerle ejecutar código no previsto. en la pila TCP de IPv4 del núcleo: si el servidor procesa a la vez dos pedidos de conexión repetidos, libera memoria que otra parte todavía usa, y un atacante que acierta ese instante puede desviar la ejecución. Se ataca por la red, sin usuario ni interacción. El exploitPrograma, fragmento de código o técnica que aprovecha una vulnerabilidad de un sistema para lograr un efecto no previsto, como tomar el control o acceder a datos. de investigación de Anthropic entra por Multipath TCP (MPTCP)Extensión del protocolo TCP que permite que una misma conexión use varias rutas de red a la vez, por ejemplo wifi y datos móviles, para ganar velocidad y estabilidad., pero la falla también está en TCP común.

Red Hat sube la gravedad a 9,8

El equipo de CVEIdentificador único que recibe cada vulnerabilidad conocida públicamente, con la forma CVE-año-número, para que fabricantes, investigadores y defensores hablen de la misma falla. del núcleo de Linux le dio 9,8 sobre 10 desde el principio. Red Hat la había calificado con 5,9 y después con un 8,1 provisorio, y hoy su ficha del CVE muestra 9,8, verificado, con impacto "crítico", porque no exige condiciones de red y puede desestabilizar el sistema, aunque ejecutar código de forma confiable requiere un control preciso de la memoria. Ubuntu usa el mismo 9,8. SUSE sigue en 8,1, porque considera alta la complejidad del ataque. Los avisos de RHEL 9 y 10 agrupan otras fallas y llevan en el encabezado un impacto "importante", aunque adentro esta figura como crítica.

Observatorio Blockchain publicó el lunes 2 de noviembre a las 10:00 UTC que Red Hat "no comprometió fecha" para RHEL 8, 9 ni 10 y que su puntaje iba de 5,9 a 8,1. Las páginas de Red Hat muestran otra cosa, con avisos del domingo y un puntaje de 9,8.

A quién afecta

• RHEL 8, 9 y 10: corregidos. RHEL 6 y 7 no están afectados.
• Sin parche, según Red Hat: el núcleo de tiempo real de RHEL 9, RHEL for NVIDIA y OpenShift 4 y 5. Su boletín RHSB-2026-016 advierte que todo producto que use su núcleo puede estar expuesto.
• Ubuntu 22.04, 24.04, 26.04 y 26.10 tienen la corrección en preparación y 16.04, 18.04 y 20.04 siguen vulnerables, según su rastreador, sin cambios desde el 30 de octubre.
• AlmaLinux 8 ya tiene el núcleo corregido en el aviso ALSA-2026:93414. AlmaLinux 9 y 10 todavía no.
• Rocky Linux 8, 9 y 10 no tienen núcleo corregido, según CIQ el 2 de noviembre, aunque CIQ corrigió el 1 de noviembre sus versiones de soporte extendido 8.6, 9.2 y 9.6.
• SUSE sumó actualizaciones el 2 de noviembre a las 10:06 UTC, y Debian 12 y 13 ya estaban corregidos.

Estado de explotación

Sin explotación conocida. Ningún proveedor reporta ataques y la falla no figura en el catálogo de vulnerabilidades explotadas de CISA, la agencia de ciberseguridad de Estados Unidos, en su última versión, del 30 de octubre. Existe el exploit de investigación de Anthropic.

Qué hacer

• En RHEL 8, 9 y 10, instalar el núcleo corregido y reiniciar, primero en los servidores expuestos a internet.
• Confirmar con rpm -q --changelog kernel-core-$(uname -r) | grep -c CVE-2026-98432, que debe dar más de cero, como propone CIQ.
• Donde no hay parche, aplicar la regla de nftablesHerramienta del núcleo de Linux para filtrar el tráfico de red con reglas de cortafuegos. Es la sucesora de iptables. del boletín de Red Hat, que descarta los paquetes TCP de IPv4 con opciones (ip protocol tcp ip hdrlength > 5 counter drop). Reduce la exposición sin eliminarla y conviene probarla fuera de producción.
• Quitarla después de actualizar con nft delete table inet cve_2026_98432, y limitar los servicios expuestos a redes de confianza.

Ficha técnica

• CVE: CVE-2026-98432, publicado el 15 de octubre de 2026.
• CVSSEstándar abierto de la industria, promovido por la organización FIRST, que asigna un puntaje a cada vulnerabilidad para expresar su gravedad y ayudar a decidir con qué urgencia responder. 3.1: 9,8 según el equipo de CVE del núcleo, Red Hat y Ubuntu, vector AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. SUSE: 8,1, con AC:H.
• CWE-825 (referencia a memoria expirada), según Red Hat.
• Versiones corregidas de Red Hat: kernel-4.18.0-553.182.1.el8_10, kernel-5.14.0-687.64.1.el9_8, kernel-6.12.0-211.72.1.el10_2 y kernel-rt-4.18.0-553.182.1.rt7.523.el8_10.
• Avisos del fabricante: RHSA-2026:93412, RHSA-2026:93413, RHSA-2026:93414 y RHSA-2026:93415, del 1 de noviembre de 2026.
• Alta en el catálogo KEVcatálogo de vulnerabilidades explotadas conocidas (KEV) Lista pública de la Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) que reúne vulnerabilidades con evidencia de explotación activa, para que se prioricen al corregir. de CISA: no figura al 2 de noviembre de 2026.