CVE-2026-98432, el fallo del núcleo de Linux con nota 9,8 sobre 10, sigue sin parche en Ubuntu y en Red Hat Enterprise Linux (RHEL). Al 30 de octubre ninguna de las dos casas tenía un núcleo corregido listo para instalar, y ninguna publicó fecha. Debian, Oracle Linux, SUSE y Amazon Linux sí entregaron paquetes. La brecha entre distribuciones es hoy el problema: el arreglo existe desde el 5 de octubre en el núcleo principal, pero no baja igual a cada servidor.
El registro del fallo salió el 15 de octubre y el informe de Anthropic llegó el 27. En esa primera historia mandaba la explotación: un modelo interno de Claude, todavía sin publicar, armó una prueba que ejecuta comandos como root en servidores Linux. Esa cobertura del informe quedó recogida en el post del modelo de Anthropic que arma cadenas de ataque. Tres días después el foco cambió: The Hacker News revisó el 29 de octubre, distribución por distribución, quién tenía paquete corregido y quién seguía esperando.
El hueco está en el arranque de cada conexión IPv4
El fallo del núcleo de Linux es una condición de carrera en el código que abre conexiones TCP nuevas sobre IPv4. Al completarse la conexión, el núcleo entrega al socket nuevo las opciones IP guardadas con la petición pendiente, sin copiarlas. Si ese socket se destruye mientras otro procesador sigue usando las opciones, el núcleo lee memoria que ya liberó. Ese error se conoce como uso tras liberación y deja tres salidas posibles: filtrar memoria cercana del núcleo al atacante, corromper esa memoria o tumbar el sistema.
El defecto entró en Linux 4.4, de 2016, y afecta a la ruta IPv4. IPv6 queda fuera porque el núcleo sí copia las opciones en ese protocolo. El arreglo, aplicado el 5 de octubre, hace que el núcleo espere a que los demás procesadores terminen de leer las opciones antes de liberarlas. El escenario de ataque usa un paquete SYN, el primer paso de la conexión, con opciones IPv4 de ruta de registro o de marca de tiempo, y un reenvío que corre contra el cierre de esa conexión.
Una explotación de laboratorio y tres notas que no coinciden
Anthropic contó el 27 de octubre que su modelo escribió la explotación tras una instrucción inicial. La prueba apunta a servidores con un servicio en escucha Multipath TCP (MPTCP), la extensión que permite a una conexión usar varias rutas de red a la vez. Primero filtra un puntero del núcleo en 48 minutos y vence así KASLR, la aleatorización que esconde dónde vive el código del núcleo. Cinco minutos después ejecuta un comando de shell como root, sin credenciales. Un intento perdido solo tumba esa conexión; el atacante puede reintentar. El arreglo acredita como reportero a Xinyang Ge, investigador de Anthropic. Ni el registro CVE ni el arreglo mencionan MPTCP: ese vínculo sale solo del texto de Anthropic.
La nota de gravedad se parte en pedazos. El equipo CVE del núcleo añadió el 9,8 al registro el 24 de octubre, con complejidad de ataque baja. La página de Red Hat marca 5,9 y gravedad moderada: su lectura es que la carrera es difícil de ganar y que lo probable es una caída del sistema. Su archivo de aviso, actualizado el 29 de octubre, sube a 8,1 y gravedad importante. Oracle y SUSE también dan 8,1, y Amazon da 7,0. La diferencia entre 9,8 y 8,1 está en un solo campo: la complejidad del ataque, baja para el equipo del núcleo y alta para los proveedores.
Parches y actualizaciones: quién entregó y quién sigue esperando
Debian cerró su parte el 16 de octubre con el paquete linux 6.12.113-1 para su versión estable (aviso DSA-6568-1), y Debian 12 recibió el 6.1.190-1 los días 17 y 22. Oracle Linux publicó sus arreglos el 16 de octubre para sus versiones 7, 8, 9 y 10. Amazon Linux 2023 corrigió su núcleo 6.18 el 24 de octubre y el 6.12 el 29. SUSE entregó paquetes para Linux Micro 6.2 y openSUSE Leap 16.0. Quien compila su propio núcleo tiene la corrección en las versiones estables 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 y 7.3, y el cambio solo entra tras reiniciar el servidor.
Ubuntu marca sus versiones 22.04 LTS, 24.04 LTS, 26.04 LTS y 26.10 como trabajo en curso, con prioridad alta, y las 16.04, 18.04 y 20.04 como vulnerables. Red Hat listó RHEL 8, 9 y 10 y OpenShift 4 como afectados, sin paquete: el 29 de octubre dijo que la corrección quedaba diferida a una actualización futura y el 30 los pasó a estado afectado, sin fecha en ninguno de los dos casos. RHEL 7 no está afectado. El equipo de seguridad de Go añadió el 29 de octubre un dato que amplía el mapa: los programas en Go 1.24 o posterior abren sus sockets de escucha con MPTCP por defecto, y apagarlo con GODEBUG=multipathtcp=0 es una mitigación frágil. Ese equipo advierte que el fallo no es específico de MPTCP; su recomendación es el núcleo parchado.
Ninguna fuente del caso reporta ataques reales con CVE-2026-98432: la explotación de Anthropic fue una prueba de laboratorio y el fallo no aparece en el catálogo de vulnerabilidades explotadas de CISA en las revisiones de esta semana. El dato que falta es de calendario: el día exacto en que Ubuntu y RHEL publicarán el núcleo corregido para sus servidores expuestos a la red.
Fuente: The Hacker News
