Producto(s) afectado(s):
| Producto | Versiones afectadas | Estado / versión corregida |
| Kernel de Linux (upstream) | Desde la rama 4.4, anteriores a la versión corregida de cada rama | 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 y 7.3 |
| Ubuntu 22.04 LTS, 24.04 LTS, 26.04 LTS y 26.10 | Vulnerable | Corrección en curso; aún sin kernel corregido |
| Ubuntu 20.04, 18.04 y 16.04 | Vulnerable | Sin kernel corregido |
| Debian 12 (bookworm) y Debian 13 (trixie) | Kernels anteriores a 6.1.190-1 (bookworm) y a 6.12.113-1 (trixie) | Corregido: 6.1.190-1 y 6.12.113-1 (bookworm también con linux-6.12 6.12.113-1~deb12u1) |
| Red Hat Enterprise Linux 8, 9 y 10 (incluido RT), In-Vehicle OS 2 y nodos RHCOS de OpenShift 4 | Afectados | Corrección diferida; mitigación no disponible |
| SUSE Linux Micro 6.2 y openSUSE Leap 16.0 | Kernels anteriores a 6.12.0-160000.40.1 | Corregido: 6.12.0-160000.40.1 o posterior |
| SUSE Linux Enterprise Server 15 SP4 a SP7 y 16.0, y SUSE Linux Micro 5.x | Afectados | Corrección en curso |
| Oracle Linux (kernels UEK) | Afectados | Corregido con las erratas ELSA-2026-500397 (OL7 y OL8), ELSA-2026-500398 (OL8 y OL9) y ELSA-2026-500399 (OL9 y OL10), publicadas el 16/10/2026 |
No están afectados Ubuntu 14.04, Red Hat Enterprise Linux 7 ni SUSE Linux Enterprise Server 11 SP4. Los appliances y las distribuciones no listadas deben verificarse con su proveedor.
Descripción
Se ha hecho pública una vulnerabilidad crítica en el kernel de Linux (CVSSv3.1 9.8 – CRÍTICA según el CNA del kernel), un use-after-free por condición de carrera en la pila TCP de IPv4, etiquetada como CVE-2026-98432. Investigadores demostraron en laboratorio que, en servidores con un listener MPTCP (Multipath TCP), puede encadenarse hasta obtener ejecución remota de código como root, sin credenciales.
La falla se produce porque las opciones IP de la solicitud de conexión (inet_opt e ireq_opt) se liberan sin esperar un período de gracia RCU. Si otro CPU procesa un SYN retransmitido mientras el socket hijo se destruye, se lee memoria ya liberada en ip_options_build(). Existe un caso análogo con la migración de request sockets (net.ipv4.tcp_migrate_req=1 o un programa BPF_SK_REUSEPORT_SELECT_OR_MIGRATE). IPv6 no se ve afectado por el primer problema; su caso análogo, solo con CALIPSO, se tratará en un parche aparte. El defecto se introdujo con el commit 079096f103fa y se corrigió en el commit e3f33b0a1d89 (7.3-rc7). El CVE se publicó el 15/10/2026.
El 27/10/2026 los investigadores publicaron un informe con una cadena de laboratorio que logra root remoto, sin credenciales ni interacción, contra servidores Linux con un listener MPTCP: unos 48 minutos para filtrar un puntero del kernel y unos 5 minutos para obtener la shell, aproximadamente 53 minutos en total. Indican además que una carrera perdida solo hace fallar el handshake, sin caída del sistema, por lo que el intento puede repetirse. El código del exploit no ha sido publicado.
El registro del CVE describe un defecto en la pila TCP de IPv4 y no menciona MPTCP; el vínculo con MPTCP y con la ejecución remota de código proviene únicamente del informe de los investigadores. No está confirmado que servidores sin MPTCP permitan ejecución remota de código, ni qué servicios de las distribuciones abren listeners MPTCP por defecto. Que el kernel permita crear sockets MPTCP (net.mptcp.enabled, valor predeterminado 1) no implica que exista un listener: la aplicación debe crear el socket MPTCP.
La vulnerabilidad no figura en el catálogo de vulnerabilidades explotadas conocidas (KEV) de la agencia de ciberseguridad de EE. UU. y no se conoce explotación activa.
Severidad según el CNA del kernel y las distribuciones
El CNA del kernel asigna CVSS 9.8 (crítica). Las distribuciones puntúan la vulnerabilidad de forma distinta: tres de ellas la evalúan con complejidad de ataque alta y una de ellas considera la denegación de servicio como el peor caso práctico.
| Origen | Puntaje | Observación |
| CNA del kernel | CVSS 3.1: 9.8 (crítica) | Vector de red, complejidad baja, sin privilegios ni interacción |
| Ubuntu | Prioridad alta; CVSS 3: 9.8 (crítica); CVSS 4.0: 8.3 (alta) | No se indica quién asignó el CVSS 4.0 |
| Red Hat | CVSS 3.1: 5.9 (moderada) | Complejidad alta; el impacto práctico es la caída del kernel o denegación de servicio |
| SUSE | CVSS 3.1: 8.1; CVSS 4.0: 9.2 (severidad importante) | Complejidad alta |
| Oracle Linux | CVSS 3.1: 8.1 (importante, preliminar) | Complejidad alta |
Mitigación
Ningún proveedor ha confirmado una mitigación para esta vulnerabilidad: una distribución indicó expresamente que no hay mitigación disponible. La única remediación confirmada es instalar el kernel corregido y reiniciar el sistema. Mientras tanto, como recomendaciones generales:
- Inventariar y revisar los servidores Linux y los appliances basados en Linux (consultando al fabricante de cada appliance), incluidos los servicios que escuchan con MPTCP, priorizando los expuestos a Internet.
- Monitorear los avisos de seguridad de cada distribución para saber cuándo se publica el kernel corregido.
- Como medida opcional de reducción de la superficie de ataque, donde MPTCP no se utilice, se puede deshabilitar con
sysctl -w net.mptcp.enabled=0. Ningún proveedor la avala como mitigación de este CVE y no corrige el defecto TCP; debe probarse antes de aplicarla.
Solución
La solución consiste en instalar el kernel corregido de la distribución en uso apenas esté disponible y reiniciar el sistema para cargarlo. Estado actual:
- Kernel upstream: 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 o 7.3.
- Debian: ya publicó el kernel corregido (6.1.190-1 en bookworm y 6.12.113-1 en trixie).
- Oracle Linux: erratas de UEK publicadas el 16/10/2026.
- SUSE: kernel corregido disponible solo en SUSE Linux Micro 6.2 y openSUSE Leap 16.0; el resto de los productos está en curso.
- Ubuntu: corrección en curso; ningún kernel figura aún como corregido.
- Red Hat: la corrección está diferida.
Se debe aplicar el kernel corregido en cada sistema en cuanto su distribución lo publique, sin excluir los servidores internos.
Información adicional:
- Ubuntu — estado de CVE-2026-98432 por versión:
https://ubuntu.com/security/CVE-2026-98432 - NVD — registro de CVE-2026-98432:
https://nvd.nist.gov/vuln/detail/CVE-2026-98432 - CVE.org — registro de CVE-2026-98432:
https://www.cve.org/CVERecord?id=CVE-2026-98432 - Debian — Security Tracker:
https://security-tracker.debian.org/tracker/CVE-2026-98432 - Debian — aviso DSA-6568:
https://www.debian.org/security/2026/dsa-6568 - Red Hat — CVE-2026-98432:
https://access.redhat.com/security/cve/cve-2026-98432 - SUSE — CVE-2026-98432:
https://www.suse.com/security/cve/CVE-2026-98432.html - Oracle Linux — CVE-2026-98432 y erratas:
https://linux.oracle.com/cve/CVE-2026-98432.html - Kernel de Linux — commit de corrección e3f33b0a1d89:
https://git.kernel.org/stable/c/e3f33b0a1d89d738e2b913dab519226eaf76e15b - Anthropic — informe de investigación del 27/10/2026 (exploit de laboratorio):
https://www.anthropic.com/research/discovering-vulnerabilities-with-claude - Documentación del kernel — parámetros sysctl de MPTCP:
https://docs.kernel.org/networking/mptcp-sysctl.html - CISA — catálogo de vulnerabilidades explotadas conocidas (KEV):
https://www.cisa.gov/known-exploited-vulnerabilities-catalog