Para: personas que gestionan servidores Linux, en especial los expuestos a internet, y equipos que desarrollan servicios de red en Go. Este artículo se basa en el registro del CVE en NVD, las páginas de Debian, Ubuntu, Red Hat y SUSE, el anuncio de seguridad del proyecto Go y el informe de BleepingComputer. No aborda pasos de ataque ni código de exploit.
En desarrollo: esta página se actualizará a medida que se publique más
- A quién afecta
personas que gestionan servidores Linux, en especial los expuestos a internet, y equipos que desarrollan servicios de red en Go.
- Confirmado hasta ahoraVer la tabla ↓
- El fallo
- Versiones upstream corregidas
- Kernels corregidos de Debian
- Aún sin confirmar
- Kernels corregidos de Ubuntu y Red Hat
- Si la ejecución remota de código funciona contra servidores sin MPTCP
- Cualquier explotación activa
1 más
- La propia evaluación de NVD (estado: Received)
- Qué hacer ahoraVer los pasos ↓
- Haga una lista de los servidores Linux que aceptan conexiones TCP IPv4 desde el exterior
- Instale el kernel corregido donde exista
- Reinicie y confirme el kernel en ejecución
2 más
- Si aún no hay corrección, aplique una medida provisional del proveedor y reduzca la exposición
- Encuentre los servicios que escuchan con MPTCP, incluidos los programas en Go
- Dónde verificarlo (fuente)Todas las fuentes ↓
- NVD, «CVE-2026-98432»
- Última comprobación
- A 1 de noviembre de 2026 (JST)
Próximos avisos y qué comprobamos
El boletín de Red Hat está marcado como «Ongoing» y dice que las correcciones se están acelerando. Ubuntu indica las correcciones como en curso. Debian ha publicado kernels corregidos.
Qué hacer hoy
Haga una lista de los servidores Linux que aceptan conexiones TCP IPv4 desde el exterior
Casi todo host Linux expuesto a internet cumple, incluidos los hosts de contenedores y las máquinas virtuales. El CVE valora el ataque como que no necesita cuenta ni acción del usuario (CVSS v3.1 9.8), así que empiece por los servidores accesibles desde internet (opinión de este sitio).
Instale el kernel corregido donde exista
En Debian, bookworm necesita 6.1.190-1 y trixie necesita 6.12.113-1 del archivo de seguridad. Para SUSE, compruebe su producto en la página de SUSE, porque algunas ramas están publicadas y otras en curso. Para Ubuntu y Red Hat, siga las páginas de las fuentes; el 1 de noviembre no indicaban ningún kernel corregido.
Reinicie y confirme el kernel en ejecución
Ejecute uname -r tras reiniciar. Un paquete instalado que no es el kernel en ejecución no le protege. Un parche en caliente del proveedor que cubra este CVE también valdría, pero compruebe antes la página del proveedor, porque SUSE indica el parcheo en caliente como en curso para la mayoría de las ramas.
Si aún no hay corrección, aplique una medida provisional del proveedor y reduzca la exposición
Red Hat describe un filtro que descarta los paquetes TCP IPv4 entrantes con opciones IP y dice que puede reducir la exposición pero no sustituir a parchear. Pruébelo primero y retírelo cuando el kernel esté corregido. Donde pueda, restrinja quién puede llegar a un servicio a redes de confianza, una mitigación que enumera BleepingComputer.
Encuentre los servicios que escuchan con MPTCP, incluidos los programas en Go
El equipo de seguridad del proyecto Go dice que Go 1.24 y posteriores activan MPTCP por defecto en los sockets de escucha en Linux, de modo que un servicio en Go puede usar MPTCP sin que nadie lo elija. El equipo describe desactivarlo programa por programa como una forma frágil de reducir la exposición y dice que la mejor solución es un kernel parcheado. Hágalo como complemento, no como sustituto.
Kernel corregido disponible
Debian 12 y 13, algunos productos de SUSE. Instale, reinicie, ejecute uname -r
Corrección en curso
Ubuntu, RHEL y productos relacionados. Use la medida provisional del proveedor y reduzca la exposición
Revise también
Oyentes MPTCP, incluidos los servicios con Go 1.24 o posterior
Versiones corregidas
| Rama del kernel | No afectada desde | Fuente |
|---|---|---|
| 5.10 | 5.10.272 | Registro del CVE en NVD (CNA del kernel) |
| 5.15 | 5.15.223 | Igual |
| 6.1 | 6.1.190 | Igual |
| 6.6 | 6.6.159 | Igual |
| 6.12 | 6.12.113 | Igual |
| 6.18 | 6.18.56 | Igual |
| 7.2 | 7.2.10 | Igual |
| 7.3 y posteriores | Corregido por el commit original de la corrección (Debian: upstream 7.3-rc7) | NVD, Debian |
El rango afectado se remonta al kernel 4.4 según NVD. Cada rama tiene su propia versión corregida, así que juzgue por la versión del paquete de su distribuidor y no por el número upstream.
| Distribución | Estado a 1 de noviembre de 2026 |
|---|---|
| Debian 12 (bookworm) | Corregido: 6.1.190-1 (seguridad) |
| Debian 13 (trixie) | Corregido: 6.12.113-1 (seguridad) |
| Debian testing e inestable | Corregido: 7.2.12-1 y 7.2.14-1 |
| Ubuntu 26.10, 26.04 LTS, 24.04 LTS, 22.04 LTS | Vulnerable, corrección en curso |
| Ubuntu 20.04, 18.04, 16.04 | Vulnerable, sin versión indicada |
| Ubuntu 14.04 | No afectado |
| RHEL 8, 9, 10; OpenShift | Afectado; sin corrección indicada en las páginas de Red Hat. Estado del boletín «Ongoing» |
| SUSE Linux Enterprise Server 16.0, 15 SP4 a SP6 LTSS, Micro 5.4, 5.5, 6.2 | Correcciones publicadas |
| SUSE Linux Enterprise Server 15 SP7, la mayoría de las ramas de parcheo en caliente | En curso |
| SUSE Linux Enterprise Server 12 SP5, Micro 6.0 y 6.1 | Afectado |
SUSE dice que su propia página puede estar incompleta o desactualizada. Red Hat también indica como potencialmente afectados los productos basados en el kernel de RHEL (como RHEL CoreOS, OpenStack Platform y Virtualization). Los kernels de nube, de appliances y de otros proveedores siguen sus propios calendarios.
Qué se divulgó
- CVE
- CVE-2026-98432, publicado el 15 de octubre de 2026. Estado en NVD: Received, última modificación el 31 de octubre
- Tipo
- Use-after-free (el registro del CVE no da un CWE)
- Gravedad
- CVSS v3.1 9.8 (AV:N/AC:L/PR:N/UI:N) de la CNA del kernel. Ubuntu: High, 9.8. Red Hat: Critical (9.8 preliminar en su página del CVE). SUSE: important, 8.1 (valora la complejidad del ataque como High)
- Dónde
- TCP IPv4 en el kernel. Las estructuras de opciones IP (
inet_opteireq_opt) se liberaban sin esperar a los lectores, lo que provoca un use-after-free enip_options_build(). También se corrige un caso relacionado en la migración de sockets de solicitud - Desencadenante
- Según el rastreador de Debian, un SYN retransmitido que compite con la creación del socket hijo puede leer las opciones después de liberadas. IPv6 no se ve afectado por el problema principal
- Corrección
- Liberar estas estructuras tras un periodo de gracia de RCU (
kfree_rcu()). NVD referencia ocho commits de ramas estables - Explotación
- Sin explotación activa confirmada en las fuentes revisadas. No está en CISA KEV el 1 de noviembre
En lenguaje llano, el kernel liberó un pequeño trozo de memoria que contenía opciones de conexión mientras otra parte aún podía estar leyéndolo. La memoria que se lee después de liberarla puede reutilizarse para otra cosa, y un fallo de ese tipo puede acabar en un bloqueo o en código ejecutándose con privilegios de kernel.
Red Hat describe el impacto principal como un bloqueo del sistema que lleva a una denegación de servicio (DoS) o a una posible corrupción de memoria. Su página del CVE explica la valoración Critical así: un atacante remoto sin autenticar puede causar corrupción de memoria del kernel o un bloqueo inmediato mediante tráfico TCP IPv4 estándar, y la ejecución fiable de código requiere un control preciso de la memoria. BleepingComputer informó de que Red Hat puntuó el fallo con 5.9 como posible denegación de servicio. Las páginas de Red Hat que este sitio revisó el 1 de noviembre muestran en cambio Critical y un 9.8 preliminar. Las valoraciones difieren entre fuentes y pueden haber cambiado, así que compruebe la página de su producto.
La demostración con MPTCP y el factor IA
BleepingComputer informó el 30 de octubre de que investigadores de una empresa de IA demostraron, según se informa, la ejecución remota de código como root en laboratorio, según el propio informe de la empresa que BleepingComputer cita pero no verificó, contra un servidor Linux con un oyente MPTCP, usando un exploit desarrollado por un modelo de IA no publicado de esa empresa. El equipo de seguridad del proyecto Go hizo una declaración similar en un anuncio retransmitido en la lista oss-security el 29 de octubre: se demostró que un servidor con oyentes MPTCP era vulnerable a la ejecución remota de código, y el fallo no es específico de MPTCP. Este sitio no revisó la demostración en sí y no enlaza a ella.
Qué se muestra y qué no, según BleepingComputer:
- La ejecución de código demostrada necesitaba un oyente MPTCP
- La ejecución remota de código en servidores sin oyente MPTCP no se ha demostrado públicamente
- No se confirmó ninguna explotación activa a la fecha del informe
MPTCP es opcional en el kernel, pero el equipo de seguridad del proyecto Go dice que Go 1.24 y posteriores lo activan por defecto en los sockets de escucha en Linux. Por eso los equipos que ejecutan servicios de red en Go deben revisar sus propios oyentes.
La lección para los defensores es la rapidez. Si un modelo de IA puede convertir una corrección publicada del kernel en un exploit funcional, el intervalo entre que un parche se hace público y que un ataque es posible puede ser más corto que antes (opinión de este sitio). Es una razón para actualizar con el primer kernel corregido del proveedor y no esperar a la siguiente ventana de mantenimiento.
Qué se sabe y qué no
| Elemento | Lo que se publicó | Estado |
|---|---|---|
| El fallo | Use-after-free de las opciones IP en TCP IPv4; CVSS 9.8 de la CNA del kernel, Ubuntu High 9.8, Red Hat Critical (preliminar), SUSE 8.1 | Confirmado (CNA del kernel, NVD, proveedores) |
| Versiones upstream corregidas | Desde 5.10.272 hasta 7.2.10, indicadas arriba | Confirmado (registro del CVE en NVD) |
| Kernels corregidos de Debian | 6.1.190-1 y 6.12.113-1 | Confirmado (rastreador de Debian) |
| Kernels corregidos de Ubuntu y Red Hat | No indicados en las páginas revisadas | En curso (proveedores) |
| Ejecución remota de código con un oyente MPTCP | Se informa de que investigadores de una empresa de IA lo mostraron en laboratorio | Informado (BleepingComputer, equipo de seguridad del proyecto Go) |
| Ejecución remota de código sin MPTCP | No mostrada públicamente; el equipo de seguridad del proyecto Go advierte de que pueden ser posibles ataques similares | Aún no se sabe |
| Explotación activa | Ninguna confirmada; no está en CISA KEV el 1 de noviembre | Aún no se sabe |
| Puntuación propia de NVD | Aún no asignada (estado Received) | Aún no se sabe |
Fuentes
Consultadas el 1 de noviembre de 2026.
- NVD, «CVE-2026-98432» — nvd.nist.gov
- Rastreador de seguridad de Debian — security-tracker.debian.org
- Ubuntu — ubuntu.com
- Red Hat, boletín RHSB-2026-016 — access.redhat.com / página del CVE — access.redhat.com
- SUSE — suse.com
- Anuncio de seguridad del proyecto Go, retransmitido en oss-security (29 de octubre de 2026) — openwall.com
- BleepingComputer, «Critical Linux kernel flaw allows remote root attacks on MPTCP servers» (30 de octubre de 2026, en inglés) — bleepingcomputer.com
- Catálogo de vulnerabilidades explotadas conocidas (KEV) de CISA (comprobado para este CVE el 1 de noviembre) — cisa.gov
Historial de actualizaciones
2026-11-01: Primera versión, basada en las páginas de NVD, Debian, Ubuntu, Red Hat y SUSE, el anuncio de seguridad del proyecto Go y el informe de BleepingComputer a 1 de noviembre.
Lectura recomendada
- Un fallo reciente del kernel que se está explotando: Fragnesia del kernel de Linux (CVE-2026-46300)
- Decidir la prioridad: Decidir qué parchear primero: CVSS, EPSS y KEV
- Corregir de verdad: Guía de remediación de CVE
- Defenderse cuando los atacantes usan IA: Defensa frente a ciberataques impulsados por IA
- Términos: Qué es RCE (ejecución remota de código) / Qué es CVSS