A quién va dirigido: personas que ejecutan servidores Linux, sobre todo servidores web con PHP, WordPress o Laravel, y equipos que ejecutan contenedores. Este artículo se basa en la alerta y el catálogo de CISA, el registro CVE del proyecto del kernel, las páginas de Ubuntu, Red Hat y Debian, y el informe de una empresa de seguridad. No trata pasos de ataque ni código de explotación.
En desarrollo: esta página se actualizará a medida que se publique más información
A fecha de las 00:00 UTC del 29 de octubre de 2026Aún no se sabe
- Quién está siendo atacado y con qué alcance (CISA no dio detalles)
- El fabricante y las versiones de los cortafuegos del informe de la empresa de seguridad
- La evaluación propia del NVD
- Si otras distribuciones y fabricantes de equipos han publicado kernels corregidos
El proyecto del kernel publicó el CVE el 23 de mayo de 2026. CISA la añadió a su catálogo KEV el 28 de octubre (hora de EE. UU.) con fecha límite del 31 de octubre. Ya hay kernels de distribución disponibles para Ubuntu, Red Hat y Debian.
1. Falla de PHP (CVE-2026-109618 / 109619)
El código se ejecuta como la cuenta del servidor web. Corrección: actualizar PHP
Webshell dejada en el directorio web
Busque archivos PHP que no añadió
2. Falla del kernel (CVE-2026-46300)
La cuenta web pasa a ser root. Corrección: actualizar el kernel y reiniciar
Qué hacer hoy
Averigüe si el servidor ejecuta PHP o deja que cualquiera ejecute código localmente
Los servidores web con PHP son la primera prioridad porque CISA describe la cadena de PHP. También importan los servidores compartidos, los ejecutores de CI, los hosts de contenedores y cualquier máquina donde puedan ejecutarse usuarios o código no fiables, ya que la falla solo necesita una cuenta local con pocos privilegios (opinión de este sitio).
Actualice PHP
Pase a PHP 8.5.12, 8.4.27, 8.3.36 o 8.2.35 o posterior. Los detalles están en nuestro artículo sobre PHP. Una actualización del kernel no corrige las fallas de PHP.
Instale el kernel corregido
Use la herramienta de actualización de su distribución y compare el resultado con las tablas siguientes. Ubuntu, Red Hat y Debian han publicado kernels corregidos.
Reinicie y confirme el kernel en ejecución
Ejecute uname -r tras el reinicio. Un paquete instalado pero que no está en ejecución no le protege. Planifique el reinicio para hoy y no para la próxima ventana de mantenimiento, porque la fecha límite de CISA es el 31 de octubre.
Busque webshells y señales de acceso root
CISA marca esta entrada como que requiere triaje forense. Busque archivos PHP que no añadió, archivos modificados recientemente en directorios web, nuevas cuentas de usuario, nuevas tareas programadas, nuevas claves SSH y conexiones salientes que no reconozca. Si encuentra alguna, trate el servidor como comprometido y consulte Cómo comprobar si su sitio web o servidor ha sido comprometido.
Versiones corregidas
| Línea del kernel | Corregida en | Fuente |
|---|---|---|
| 5.10 | 5.10.257 | Registro CVE del kernel de Linux |
| 5.15 | 5.15.208 | Registro CVE del kernel de Linux |
| 6.1 | 6.1.174 | Registro CVE del kernel de Linux |
| 6.6 | 6.6.141 | Registro CVE del kernel de Linux |
| 6.12 | 6.12.91 | Registro CVE del kernel de Linux |
| 6.18 | 6.18.33 | Registro CVE del kernel de Linux |
| 7.0 | 7.0.10 | Registro CVE del kernel de Linux |
| 7.1 y posteriores | No afectadas | Registro CVE del kernel de Linux |
Las distribuciones incorporan las correcciones sin cambiar el número de versión original, así que para los kernels empaquetados guíese por la versión del paquete de la distribución, no solo por el número original.
| Distribución | Paquete de kernel corregido |
|---|---|
| Ubuntu 26.04 LTS | 7.0.0-22.22 |
| Ubuntu 25.10 | 6.17.0-35.35 |
| Ubuntu 24.04 LTS | 6.8.0-124.124 |
| Ubuntu 22.04 LTS | 5.15.0-181.191 |
| Ubuntu 26.10 y 20.04 y anteriores | Figuran como no afectadas (Ubuntu) |
| RHEL 8 | 4.18.0-553.125.1.el8_10 |
| RHEL 9 | 5.14.0-687.10.1.el9_8 |
| RHEL 10.2 | 6.12.0-211.16.1.el10_2 |
| Debian 12 (bookworm) | 6.1.190-1 (seguridad) |
| Debian 13 (trixie) | 6.12.113-1 (seguridad) |
Ubuntu también lista kernels corregidos de nube y especializados (AWS, Azure, GCP, Oracle, IBM, Raspberry Pi, tiempo real y FIPS), así que compruebe en la página de Ubuntu la variante que ejecuta realmente. Red Hat lista correcciones para flujos más antiguos de soporte extendido, y la falla también afecta a productos basados en el kernel de RHEL, como OpenShift. Los hosts que usan un kernel del fabricante, como los equipos de red, necesitan la actualización del fabricante del equipo.
Qué se ha divulgado
- CVE
- CVE-2026-46300, apodada Fragnesia por Ubuntu y Red Hat
- Tipo
- Falta de inicialización de una variable (CWE-456 en el catálogo de CISA). Red Hat la clasifica como una condición de escritura de lo que sea donde sea (CWE-123)
- Gravedad
- CVSS v3.1 7.8 (AV:L/AC:L/PR:L/UI:N). Red Hat la califica de Importante y Ubuntu de Alta
- Dónde
- Código de red del kernel (
skb_try_coalesce()en net/core/skbuff.c) y la ruta de recepción de IPsec ESP-en-TCP - Impacto
- Un usuario local con pocos privilegios puede escribir datos en la copia en memoria caché de archivos de solo lectura, lo que puede llevar a root. Ubuntu dice además que podría permitir escapar de un contenedor
- Corregida
- Véanse las tablas anteriores. El registro CVE es del 23 de mayo de 2026
- Explotación conocida
- Añadida al catálogo KEV de CISA el 28 de octubre de 2026 (hora de EE. UU.) como "Linux Kernel Missing Initialization of a Variable Vulnerability". Fecha límite 31 de octubre. Triaje forense requerido. Uso en ransomware: desconocido
Según la descripción del proyecto del kernel, la función que mueve datos paginados entre dos búferes de red perdía una marca que indica que los datos se comparten con algo externo al búfer, como la copia en caché de un archivo. El código IPsec ESP comprueba esa marca para decidir si puede descifrar en el sitio. Con la marca perdida, descifraba sobre los datos del archivo en caché. La corrección transmite la marca.
Piense en la escalada local de privilegios así: no mete a un atacante en su servidor, convierte un punto de apoyo pequeño en control total. Combinada con una falla que da un punto de apoyo, como las de PHP, completa la intrusión.
Es de la misma familia que las fallas Dirty Frag que Red Hat trató en su boletín RHSB-2026-003, que lista CVE-2026-43284 (IPsec ESP) y CVE-2026-46300 como las que afectan a productos de Red Hat. Los hosts parcheados antes por Dirty Frag siguen necesitando esta corrección (opinión de este sitio).
Explotación y la cadena de PHP
La entrada del catálogo de CISA dice que la falla "can be chained with CVE-2026-109618 and CVE-2026-109619 to implant PHP webshells and run commands as root" (puede encadenarse con CVE-2026-109618 y CVE-2026-109619 para implantar webshells PHP y ejecutar comandos como root). Esas dos fallas de PHP se añadieron al catálogo KEV el 26 de octubre con fecha límite del 29 de octubre. CISA no publicó quién fue el objetivo ni cómo.
Una empresa de seguridad informó el 26 de octubre de que los atacantes obtuvieron root en 25 servidores, sobre todo equipos cortafuegos expuestos a internet de un fabricante sin nombrar, combinando las dos fallas de PHP con esta falla del kernel. SecurityWeek repitió el informe el 28 de octubre. El informe dice que las fallas de PHP dieron ejecución de código como una cuenta restringida del servidor web, y que la falla del kernel se usó para obtener root. El informe dice que los dispositivos afectados abarcan EE. UU., Japón, Taiwán y Corea del Sur. La empresa dice que informó al fabricante y no nombró ni al fabricante ni las versiones. La redacción difiere entre las versiones (24 cortafuegos más un servidor de gestión, o 25 en total), y este sitio no pudo comprobar los datos subyacentes. Trate las cifras como el informe de una empresa, no como un hecho establecido.
Si ejecuta un equipo con interfaz web de gestión, pregunte al fabricante si su firmware está afectado y no deje las interfaces de gestión abiertas a internet (opinión de este sitio).
Medidas provisionales si aún no puede actualizar
El boletín de Red Hat dice que compruebe si se usan los módulos esp4 y esp6 (lsmod | grep -E 'esp4|esp6') y, si no necesita IPsec, los bloquee. Esto rompe IPsec, incluidas muchas configuraciones de VPN, así que confírmelo primero. Red Hat describe también una opción más limitada que restringe los espacios de nombres de usuario sin privilegios, lo que puede afectar a contenedores sin root y a navegadores en sandbox. Ubuntu remite al mismo procedimiento que publicó para Dirty Frag. Ninguno de los dos fabricantes lo presenta como sustituto del kernel corregido. Siga las páginas del fabricante para los pasos exactos y quite el bloqueo después de arrancar con el kernel corregido.
Qué aún no se sabe
| Elemento | Estado |
|---|---|
| Quién la está explotando | CISA dice que hay explotación activa pero no dio detalles. El relato de la empresa de seguridad no está verificado |
| El fabricante de cortafuegos del informe | La empresa no lo nombra |
| Código de explotación público | Informado por otros; este sitio no lo verificó y no lo enlaza |
| Evaluación del NVD | No confirmada por este sitio en el momento de escribir |
| Otros kernels | Los fabricantes de equipos y las imágenes en la nube pueden publicar correcciones más tarde que las distribuciones |
Fuentes
Consultadas el 29 de octubre de 2026 (datos y alerta del catálogo de CISA, el registro CVE, Ubuntu, Red Hat, Debian).
- CISA, "CISA Adds Two Known Exploited Vulnerabilities to Catalog" (28 de octubre de 2026) — cisa.gov / Known Exploited Vulnerabilities Catalog — cisa.gov
- Registro CVE Program CVE-2026-46300 (Linux kernel CNA, con versiones corregidas de Red Hat) — cve.org
- NVD, "CVE-2026-46300" — nvd.nist.gov
- Ubuntu, "CVE-2026-46300" — ubuntu.com / "Dirty Frag Linux vulnerability fixes available" — ubuntu.com
- Red Hat, "CVE-2026-46300" — access.redhat.com / "Dirty Frag (RHSB-2026-003)" — access.redhat.com
- Debian security tracker, "CVE-2026-46300" — security-tracker.debian.org
- El informe de una empresa de seguridad sobre la cadena PHP2Shell contra cortafuegos (26 de octubre de 2026) — el informe (en inglés)
- SecurityWeek, "China-Linked Hackers Exploit PHP2Shell to Root Firewalls" (28 de octubre de 2026) — securityweek.com
Historial de actualizaciones
2026-10-29: Primera versión, basada en la inclusión en KEV de CISA del 28 de octubre, el registro CVE y la información de Ubuntu, Red Hat y Debian.
Lectura recomendada
- La mitad de PHP de la cadena: Fallas de PHP CVE-2026-109618 y CVE-2026-109619
- Comprobar un servidor: Cómo comprobar si su sitio web o servidor ha sido comprometido
- Decidir la prioridad: Decidir qué parchear primero: CVSS, EPSS y KEV
- Cuando se anuncia una vulnerabilidad: Guía de corrección de CVE
- Términos: ¿Qué es RCE (ejecución remota de código)? / ¿Qué es CVSS?