Si administras servidores Linux y la seguridad es uno de esos temas que te quitan el sueño, es momento de prestar atención a CVE-2026-98432, una vulnerabilidad crítica descubierta en el kernel Linux que ha generado bastante ruido en el mundo de la ciberseguridad. No todos los días aparece un fallo con una puntuación CVSS de 9.8 sobre 10, con potencial de ejecución remota de código y que además estuvo oculto durante más de una década en el núcleo del sistema operativo. [ubuntu.com], [observator…kchain.com]

---

¿Qué es CVE-2026-98432?

CVE-2026-98432 es una vulnerabilidad de tipo Use-After-Free que afecta al manejo de conexiones TCP sobre IPv4 dentro del kernel Linux. Fue publicada el 15 de octubre de 2026 y afecta a versiones del kernel desde Linux 4.4 en adelante. En términos sencillos, el kernel libera una estructura de memoria y, bajo determinadas circunstancias, otra parte del sistema intenta seguir utilizándola.

Normalmente esto genera errores o bloqueos. Sin embargo, cuando un atacante logra controlar el momento exacto en que ocurre esa condición de carrera, puede llegar a provocar:

• Caídas del sistema (Kernel Panic).
• Denegación de servicio (DoS).
• Filtración de memoria del kernel.
• Corrupción de memoria.
• Potencial ejecución remota de código con privilegios elevados. [hexnode.com], [infordisa.com]

Dicho de otra forma: un simple paquete de red malicioso podría convertirse en el equivalente digital de dejar las llaves pegadas en la puerta del servidor.

---

¿Cómo funciona técnicamente la vulnerabilidad?

Durante el proceso de establecimiento de una conexión TCP (el famoso handshake SYN, SYN/ACK y ACK), Linux utiliza estructuras temporales para almacenar información relacionada con la conexión entrante. El fallo se produce cuando ciertas opciones IPv4 son transferidas a un nuevo socket sin copiar correctamente la estructura asociada. Si varios núcleos de CPU intervienen simultáneamente en determinadas operaciones, la memoria puede liberarse mientras todavía está siendo utilizada por otro proceso del kernel. Los desarrolladores corrigieron este comportamiento reemplazando llamadas tradicionales a kfree() por kfree_rcu() permitiendo que Linux espere a que los lectores terminen antes de liberar definitivamente la memoria.

---

¿Cómo infecta un servidor Linux?

Técnicamente no se trata de una infección tradicional como ocurre con un virus o ransomware. Lo que hace el atacante es explotar directamente la vulnerabilidad enviando paquetes TCP especialmente diseñados contra servicios accesibles por red. Entre los objetivos potenciales pueden encontrarse:

• Servidores Web.
• SSH.
• Bases de datos.
• APIs.
• Aplicaciones en contenedores.
• Servicios corporativos expuestos a Internet.

La explotación ocurre antes incluso de que aplicaciones como Apache, Nginx, PostgreSQL o SSH procesen la conexión. Todo sucede dentro del propio kernel. Esto significa que ninguna aplicación necesita estar mal configurada para resultar afectada.

---

¿Existe un exploit funcional?

Sí. Diversas publicaciones indican que un modelo de investigación desarrollado por Anthropic logró generar un exploit funcional capaz de obtener ejecución remota de comandos como root en determinados escenarios utilizando servicios con soporte Multipath TCP (MPTCP). Por el momento no existen evidencias públicas de explotación masiva activa en Internet, aunque la gravedad del fallo ha llevado a numerosos fabricantes y distribuciones a publicar parches de emergencia.

---

¿Afecta a todas las distribuciones Linux?

La vulnerabilidad afecta al kernel, no a una distribución específica. Por ello cualquier distribución que utilice kernels vulnerables podría verse impactada. Entre las distribuciones afectadas se encuentran:

Ubuntu

Canonical confirmó la vulnerabilidad y publicó correcciones para versiones recientes mediante repositorios de prueba mientras completaba las validaciones correspondientes.

Debian

Ya dispone de actualizaciones de seguridad para varias ramas soportadas.

Amazon Linux

Publicó rápidamente actualizaciones para sus kernels soportados.

Oracle Linux

Cuenta con correcciones disponibles.

SUSE

También distribuyó parches de seguridad para sistemas compatibles.

RHEL (Red Hat Enterprise Linux)

Los informes iniciales indicaban una disponibilidad más lenta de las correcciones respecto a otras distribuciones.

---

Cómo saber si tu servidor podría estar afectado

Verifica la versión del kernel:

uname -r

También puedes consultar la versión instalada:

cat /etc/os-release

Compara el resultado con los boletines de seguridad oficiales de tu distribución.

---

Cómo prevenir ataques

La mejor prevención es aplicar las actualizaciones del kernel tan pronto como estén disponibles.

Adicionalmente:

• Mantener el sistema actualizado.
• Minimizar servicios expuestos a Internet.
• Utilizar firewalls.
• Implementar segmentación de red.
• Monitorizar conexiones sospechosas.
• Aplicar el principio de mínimo privilegio.
• Mantener sistemas IDS e IPS actualizados.

Ubuntu incluso publicó una mitigación basada en filtrado de paquetes IPv4 con opciones específicas mediante nftables.

---

Cómo instalar las actualizaciones

Debian y Ubuntu

sudo apt update

sudo apt upgrade

sudo reboot

RHEL, AlmaLinux y Rocky Linux

sudo dnf update

sudo reboot

Amazon Linux

sudo yum update kernel

sudo reboot

O bien:

sudo dnf update kernel

sudo reboot

según la versión utilizada.

---

¿Qué hacer si sospechas que ya fue explotado?

Uno de los problemas de este tipo de vulnerabilidades es que pueden comprometer el sistema a nivel kernel. Si existe evidencia real de explotación:

1. Aislar inmediatamente el servidor.
2. Realizar copia forense de logs y memoria.
3. Revisar cuentas privilegiadas.
4. Buscar procesos sospechosos.
5. Cambiar credenciales comprometidas.
6. Reinstalar el sistema desde una fuente confiable.
7. Aplicar el kernel corregido antes de volver a ponerlo en producción.

En entornos empresariales la reinstalación suele ser la opción más segura cuando existe posibilidad de ejecución de código como root.

---

Conclusión

CVE-2026-98432 demuestra que incluso componentes extremadamente revisados como el kernel Linux pueden albergar errores críticos durante años. Lo preocupante no es solo la puntuación de gravedad, sino que el fallo afecta a la propia infraestructura de red del sistema operativo y puede explotarse de forma remota sin autenticación. La recomendación es clara: si administras servidores Linux, verifica inmediatamente la versión de tu kernel, instala las actualizaciones publicadas por tu distribución y reinicia los equipos afectados. En este caso, retrasar el parcheo no es una buena estrategia.