CVE-2026-98432: vulnerabilidad crítica en el kernel de Linux que afecta a Ubuntu y RHEL

Resumen

CVE-2026-98432 es un fallo crítico en el código TCP/IPv4 del kernel de Linux que puede permitir a un atacante remoto, sin credenciales, ejecutar código como root. La información de Ubuntu es correcta y coincide con Debian, el registro CVE y la prensa especializada.

Acción: inventariar servidores Linux expuestos a Internet, aplicar el kernel corregido en cuanto lo publique cada distribución y reiniciar.

Detalles técnicos

Al completar una conexión TCP, el kernel traspasa al nuevo socket las opciones IP de la petición pendiente sin copiarlas. Si ese socket se destruye mientras otro núcleo de CPU las usa para responder a un SYN retransmitido, el kernel accede a memoria ya liberada (Ubuntu).

• Origen: introducido en Linux 4.4 (commit 079096f), por lo que afecta a prácticamente todos los kernels en uso.
• Segundo escenario: la migración de peticiones de socket (net.ipv4.tcp_migrate_req=1 o programas BPF de reuseport) tiene el mismo problema.
• IPv6: no afectado por el fallo principal, porque el kernel copia las opciones. Queda un caso residual con CALIPSO que se corregirá aparte.
• Corrección: liberar las opciones tras un periodo de gracia RCU (kfree_rcu()), commit e3f33b0, incluido en 7.3-rc7.
• Versiones upstream corregidas: 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 y 7.3 (The Hacker News).
• Exploit: según Anthropic, su modelo obtuvo root remoto en servidores con un listener de multipath TCP (MPTCP), en menos de una hora.

¿Está parcheado Ubuntu? Estado por distribución

Todas las versiones de Ubuntu con soporte siguen vulnerables; Debian, Oracle Linux y Amazon Linux ya tienen corrección. Estado a 29–30 de octubre de 2026.

En Ubuntu también están afectados los kernels específicos de nube (AWS, Azure, GCP, Oracle), HWE, low-latency, FIPS, Raspberry Pi y realtime. El listado completo está en la ficha de Ubuntu; el de Debian en su security tracker.

Cómo proteger tus servidores Linux

La única solución definitiva es instalar el kernel corregido y reiniciar. Hasta entonces, priorizar los servidores accesibles desde Internet.

1. Inventariar los servidores Linux y su kernel con uname -r; empezar por los expuestos a Internet.
2. Debian, Oracle Linux y Amazon Linux: actualizar ya y reiniciar.
3. Ubuntu: vigilar la ficha del CVE y, cuando salga el parche, ejecutar sudo apt update && sudo apt full-upgrade y reiniciar. Con Ubuntu Pro, sudo pro fix CVE-2026-98432 indica el estado y aplica la corrección cuando exista.
4. Livepatch: donde esté activo, comprobar con canonical-livepatch status si cubre este CVE; no sustituye al reinicio programado.
5. RHEL y derivados: seguir el boletín de Red Hat y aplicar en cuanto esté disponible.
6. Kernels compilados a mano: subir a una versión corregida (ver Detalles técnicos).

Reducción de riesgo temporal (no oficial, probar antes en preproducción):

• Desactivar MPTCP si no se usa: sysctl -w net.mptcp.enabled=0. Cierra la vía del exploit descrito, no el fallo de fondo.
• Mantener net.ipv4.tcp_migrate_req=0 (valor por defecto).
• Valorar filtrar en el firewall perimetral los paquetes IPv4 entrantes con opciones IP, que el tráfico legítimo apenas usa.
• Restringir los puertos TCP expuestos a lo estrictamente necesario.

Fuentes

• Ubuntu Security – CVE-2026-98432
• Debian Security Tracker – CVE-2026-98432
• The Hacker News – Linux Kernel TCP Flaw With 9.8 CVSS Score
• Rescana – Linux Kernel CVE-2026-98432
• Registro CVE (cve.org)
• NVD