red Hat ha publicado actualizaciones del kernel para una vulnerabilidad crítica de uso después de liberar memoria en el código IPv4 TCP de Linux. Registrado como CVE-2026-98432, el fallo puede activarse de forma remota, sin autenticación, y podría permitir la ejecución de código. El equipo de CVE del kernel de Linux lo valora con 9,8 sobre 10 en la escala CVSS; Red Hat elevó su evaluación de Moderada a Crítica, también con una puntuación de 9,8.

El error se produce cuando un servidor acepta una conexión IPv4 TCP y el kernel procesa las opciones IP incluidas en la solicitud. Si un cliente retransmite la solicitud mientras otro procesador todavía está leyendo esas opciones, el kernel podría acceder a memoria que ya se ha liberado. Para activar el fallo, se envían solicitudes de conexión a un puerto TCP en escucha con opciones IPv4 Record Route o Timestamp. IPv6 no se ve afectado en la ruta principal.

Red Hat publicó actualizaciones para RHEL 8, 9 y 10 el 1 de noviembre. Los kernels corregidos son 4.18.0-553.182.1.el8_10 para RHEL 8.10, 5.14.0-687.64.1.el9_8 para RHEL 9.8 y 6.12.0-211.72.1.EL10_2 para RHEL 10.2. Es necesario reiniciar los sistemas después de la instalación.

Canonical comunicó el 2 de noviembre que las correcciones para Ubuntu 22.04 LTS, 24.04 LTS y 26.04 LTS están disponibles en el repositorio -proposed, un canal de pruebas de suscripción voluntaria cuyos paquetes no se instalan automáticamente. Las versiones propuestas del kernel son 5.15.0-203.213, 6.8.0-149.149 y 7.0.0-43.43, respectivamente. Canonical no ha anunciado cuándo llegarán al canal de actualizaciones regular. Ubuntu 20.04, 18.04 y 16.04 todavía no tienen correcciones.

Red Hat también ha publicado una regla de nftables destinada a descartar paquetes IPv4 TCP entrantes que incluyan opciones IP. La empresa afirma que la regla bloquea el método de activación conocido, pero no impide por completo la explotación y puede interrumpir las cargas de trabajo que dependen de opciones IPv4. Solo se aplica al host en el que se carga; el tráfico entre contenedores del mismo host podría eludirla.

Ningún proveedor, CERT ni el equipo de CVE del kernel ha informado de ataques que exploten el fallo, y este no figuraba en el catálogo de Vulnerabilidades Explotadas Conocidas de CISA en su publicación del 30 de octubre. Anthropic afirmó que un modelo interno de investigación aún no publicado había generado un exploit remoto con privilegios de root para servidores Linux con un receptor MPTCP, pero el código del exploit no se ha publicado. En GitHub ha aparecido código de prueba de concepto que activa la condición de carrera, pero no consigue ejecutar código.

Debian, Oracle Linux y SUSE publicaron correcciones en octubre. Amazon Linux valoró el problema con un 8,1 y como Importante, citando un fallo del sistema con posible corrupción de memoria, y comunicó que había actualizado los paquetes afectados entre el 24 y el 30 de octubre.

Fuentes: The Hacker News.