¿Qué es CVE-2026-98432?

Un fallo de tipo use-after-free en el código del kernel de Linux que gestiona el establecimiento de conexiones TCP sobre IPv4. Un atacante remoto puede provocarlo enviando paquetes de conexión a cualquier servicio que esté escuchando, sin usuario ni contraseña.

¿Es tan grave como dice su CVSS de 9.8?

El 9.8 lo asigna el propio CNA del kernel de Linux, que describe fuga de memoria del kernel, escrituras fuera de límites y caída del sistema. Ubuntu le da prioridad alta. Algún agregador lo puntúa más bajo (5.9), porque explotarlo exige ganar una condición de carrera. No hay exploit público conocido.

¿Qué versiones del kernel lo corrigen?

Afecta desde el kernel 4.4. Está corregido en 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 y en la rama 7.3.

¿Mi distribución ya tiene el parche?

Debian sí: lo publicó en sus repositorios de seguridad para bookworm (6.1.190-1) y trixie (6.12.113-1). Ubuntu marca como vulnerables todas sus versiones de la 16.04 a la 26.10, incluidos los kernels para AWS, Azure, Google Cloud, Oracle y Raspberry Pi, con la corrección todavía en preparación.

El fallo principal no: la versión IPv6 del código copia las opciones en lugar de compartirlas. Hay una variante relacionada en IPv6 que solo aparece con la migración de sockets y la opción CALIPSO, y se corregirá en un parche aparte.

¿Qué tengo que hacer?

Actualizar el kernel en cuanto tu distribución publique el parche y reiniciar, porque un kernel nuevo no se usa hasta el reinicio. Empieza por las máquinas expuestas a Internet con servicios TCP abiertos.

CVE-2026-98432: fallo crítico del kernel de Linux atacable por red

“Fallo crítico en el kernel de Linux: se puede atacar por red, sin login y sin necesidad de ninguna acción por parte del usuario”, resumía Iván Pérez en X. Es cierto. CVE-2026-98432 está en el código que atiende las conexiones TCP que llegan a un servidor Linux por IPv4. El registro oficial del CVE le da un CVSS 3.1 de 9.8.

Qué se sabe

Es un use-after-free en ip_options_build(). El kernel lee una memoria que ya ha liberado mientras construye la respuesta (SYN-ACK) a una petición de conexión.
Se activa desde la red. Según el escenario que acompaña a la puntuación, el atacante envía un SYN con opciones IPv4 (Record Route o Timestamp) a un servicio que escucha. Luego reenvía ese SYN a la vez que completa y cierra la conexión, hasta ganar la carrera.
No hace falta autenticación. Todo ocurre durante el saludo TCP, antes de que la aplicación pida credenciales.
El impacto es triple: fuga de memoria del kernel dentro del propio paquete de respuesta, escrituras fuera de límites que podrían desviar la ejecución y, en el caso más sencillo, un kernel panic que tumba la máquina.
Viene de lejos. El error lo introdujo el commit 079096f103fa, presente desde el kernel 4.4.
Sin exploit público conocido. Agregadores como TheHackerWire no detectan prueba de concepto pública y el fallo no figura en el catálogo KEV de CISA.

Versiones corregidas

La corrección es pequeña: liberar esas opciones con kfree_rcu() en lugar de kfree(), como ya hacían otras partes del código. Según el registro del CVE, estas versiones ya no son vulnerables:

Rama	Versión corregida
5.10	5.10.272
5.15	5.15.223
6.1	6.1.190
6.6	6.6.159
6.12	6.12.113
6.18	6.18.56
7.2	7.2.10
7.3	desde 7.3

Para comprobar tu kernel, basta con uname -r. Pero cuidado: las distribuciones aplican parches a sus propias versiones, así que manda el aviso de tu distribución, no el número.

Cómo está cada distribución

Debian ya lo ha parcheado. El tracker de seguridad de Debian lo da por corregido en bookworm (6.1.190-1, DLA-4841-1) y trixie (6.12.113-1, DSA-6568-1). Llega desde el repositorio de seguridad, no desde el normal.

Ubuntu todavía no. Su ficha del CVE, actualizada el 28 de octubre, marca como vulnerables todas las versiones de la 16.04 a la 26.10. También los kernels para AWS, Azure, Google Cloud, Oracle y Raspberry Pi. En casi todas, la corrección figura como “work in progress”. Solo la 14.04 queda fuera.

Para el resto de distribuciones, consulta su aviso de seguridad.

Qué hacer

Actualiza el kernel en cuanto salga el parche para tu distribución. En Debian, ya.
Reinicia. Un kernel nuevo instalado no protege hasta que arranca. Si usas Livepatch o kpatch, comprueba si tu proveedor publica un parche en caliente.
Prioriza lo expuesto. El ataque necesita un puerto TCP abierto por IPv4: servidores web, SSH, bases de datos accesibles desde fuera.
No te olvides de lo pequeño. NAS, routers y Raspberry Pi también llevan Linux, y sus fabricantes van a su ritmo.

Una nota sobre las opciones IPv4: el ataque depende de paquetes con opciones Record Route o Timestamp, que casi ningún tráfico legítimo usa. Filtrarlas en el cortafuegos reduce la superficie, pero ninguna fuente oficial lo propone como mitigación. No sustituye al parche.

Ojo con la puntuación

El 9.8 lo pone el CNA del kernel de Linux, que desde hace un tiempo asigna CVE a casi cualquier corrección de seguridad. No todos coinciden: Feedly lo deja en 5.9, porque explotarlo requiere ganar una condición de carrera. El propio escenario del CNA rebate ese matiz: el atacante controla los dos lados de la carrera y puede repetirla.

La lectura práctica no cambia. Es un fallo remoto, sin autenticación, en código que corre en casi cualquier servidor Linux. Actualiza.