iNBest
CVE-2026-98432Corte 29–30 oct 2026Revisión factual 31 oct 2026Revisión de paquetes Leap 31 oct 2026Revisión de paquetes Micro 31 oct 2026

Una falla en el TCP de Linux.Ubuntu y RHEL aún no tienen parche.

CVE-2026-98432 es una condición de carrera en cómo el kernel de Linux arma las conexiones TCP sobre IPv4. Existe desde Linux 4.4 (2016). Investigadores de Anthropic mostraron que puede llevar a ejecución de código como root en un servidor con un listener MPTCP. Debian, productos específicos de SUSE y Oracle UEK tienen correcciones. Amazon requiere verificar disponibilidad con el proveedor. Los registros revisados de Ubuntu y Red Hat aún listan kernels afectados sin correcciones publicadas.

Agenda tu evaluación gratuita Qué hacer hoy
9.8
CVSS del CNA del kernel; Red Hat en borrador
8.1
SUSE, Amazon; Oracle preliminar
KEV
No listado, catálogo 2026-10-30; no prueba ausencia de ataques

¿Tu distribución ya tiene parche?

Elige la que usas en producción. Corte 29–30 oct; revisión factual 31 oct 2026.

¿Tu distribución ya tiene parche?
Sin parcheRevisado 31 oct 2026

Paquete base linux: 22.04, 24.04, 26.04 y 26.10 en progreso; 16.04, 18.04 y 20.04 vulnerables. Revisa por separado cada kernel cloud, HWE, FIPS o real-time.

Qué hacer: Cierra los servicios TCP que no necesitan estar en internet y agenda ya la ventana de reinicio.

Revisemos tus servidores

[ 001 ]Qué pasó

De la corrección del kernel a la demostración.

  1. Octubre 2026

    Corrección en el kernel

    La corrección espera a que otros CPUs terminen de leer las opciones IP antes de liberarlas. El corte original indica 5 oct; la fecha exacta del commit sigue sin verificarse en esta revisión.

  2. 15 oct

    Se publica el CVE

    CVE-2026-98432. Debian lista paquetes de seguridad corregidos; aquí no se verificaron las fechas de entrega. Oracle lista avisos UEK del 16 oct.

  3. Revisado 31 oct

    Calificaciones por emisor

    El CNA del kernel califica con CVSS 9.8, al igual que el borrador de Red Hat. SUSE, Oracle y Amazon indican 8.1; la calificación de Oracle es preliminar.

  4. Octubre 2026

    Exploit escrito por IA

    Anthropic reporta un exploit funcional: 48 minutos para filtrar una dirección del kernel y 5 más para ejecutar comandos como root. Son tiempos de ejecución, no de escritura. La fecha original del 27 oct sigue sin verificarse aquí.

  5. Corte 30 oct

    Estado de parches

    Los paquetes base linux de Ubuntu 22.04 a 26.10 siguen en progreso. Red Hat lista RHEL 8, 9 y 10 como afectados y acelera las correcciones. Revisa los registros del proveedor antes de actuar.

[ 002 ]Cómo funciona

Una carrera dentro del kernel.

La carrera, paso a paso
CPU 0CPU 1SYN conopciones IPsocket nuevolibera opcionesreenvía SYNlee opcioneslee memorialiberada
Dos CPUs comparten un puntero a las mismas opciones IP. Si uno las libera mientras el otro las sigue leyendo, el kernel usa memoria ya liberada.
  1. 01

    Conexión con opciones IP

    El atacante abre una conexión TCP hacia un servicio expuesto, con opciones IPv4 Record Route o Timestamp.

  2. 02

    Reenvío para ganar la carrera

    Reenvía la misma solicitud. El kernel pasó las opciones al nuevo socket sin copiarlas, y otro CPU puede seguir leyéndolas.

  3. 03

    Memoria liberada

    Si el socket se destruye mientras otro CPU lee, el kernel usa memoria ya liberada (use-after-free).

  4. 04

    Fuga y control

    En la prueba de Anthropic, la fuga reveló una dirección del kernel que anula KASLR, y un desbordamiento posterior ejecutó código como root.

En la demostración de Anthropic, perder la carrera fallaba el handshake sin tirar el sistema, permitiendo reintentos; otras formas de explotación pueden tirar el kernel. IPv6 no está afectado por el primer problema, pero el CVE identifica otro problema de CALIPSO/migración de solicitudes para otro parche.

[ 003 ]Por qué la calificación varía

¿9.8 u 8.1? Depende de a quién le preguntes.

El CNA del kernel y el borrador de Red Hat califican la complejidad como baja: CVSS 3.1 9.8. SUSE, Oracle y Amazon la califican alta: 8.1. La calificación de Oracle es preliminar. Son los registros revisados el 31 oct, no prueba de sus valores históricos. Revisa qué servidores Linux exponen TCP y cuánto tardas en parcharlos y reiniciarlos.

Equipo del kernel (CNA)
9.8
Red Hat (borrador)
9.8
SUSE; Oracle (preliminar)
8.1
Amazon
8.1
0510

[ 004 ]Estado por distribución • Corte 30 oct, revisado 31 oct 2026

¿Ya hay parche para lo tuyo?

DistribuciónEstadoDetalle
Ubuntu 22.04, 24.04, 26.04, 26.10Sin parchePaquete base linux en progreso, prioridad alta. Revisa paquetes cloud, HWE, FIPS y real-time por separado.
Ubuntu 16.04, 18.04, 20.04Sin parchePaquete base linux vulnerable; revisa la variante exacta del kernel.
RHEL 8, 9, 10 y OpenShift 4Sin parcheRed Hat los lista como afectados. Verifica AlmaLinux y Rocky con sus propios proveedores.
Amazon Linux 2 y AL2023VerificaLa matriz lista correcciones; los avisos del kernel base tienen fecha de publicación del 30 oct pero actualización del 2 nov. Verifica rama y disponibilidad en el repositorio.
Productos SUSEParcialSLES 16.0 tiene paquetes publicados. Las correcciones default/base de Micro no corrigen RT: kernel-rt de Micro 5.3 está afectado y kernel-source-rt está en progreso. Default: 5.3/5.4 listan aarch64/s390x/x86_64; 5.5/6.2 listan aarch64/ppc64le/s390x/x86_64. Base: 5.3–5.5 listan aarch64/x86_64; 6.2 lista aarch64/ppc64le/x86_64, con releases de RPM distintos. RT: 5.4/5.5 listan solo x86_64; 6.2 lista aarch64/x86_64. Verifica la compilación y arquitectura exactas del aviso; las combinaciones no listadas no están verificadas. Micro 6.0/6.1 siguen afectados. SP7 en progreso. La actualización openSUSE-Leap-16.0-1973 de Leap 16.0 lista kernel-default 6.12.0-160000.40.1 para aarch64, ppc64le, s390x y x86_64. Otras variantes y kernel-default-base tienen entradas propias por paquete/arquitectura. La matriz del CVE aún marca kernel-source como afectado: los registros contradictorios del proveedor no establecen que todo sistema Leap esté corregido.
Debian 12 y 13Corregido6.1.190-1 y 6.12.113-1; Debian 12 también tiene 6.12.113-1~deb12u1. Requiere security.debian.org en tus fuentes.
Oracle Linux 7 a 10 (UEK)CorregidoELSA-2026-500397, 500398 y 500399, desde el 16 oct. Verifica tu generación de UEK y paquete.
RHEL 7No afectadoSegún Red Hat.

Kernels upstream corregidos: 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 y 7.3. Los estados cambian a diario; revisa el aviso de tu proveedor. Una entrada en la matriz no prueba que el paquete estuviera disponible a la fecha del corte.

[ 005 ]Qué hacer hoy

Inventario, parche, reinicio, verificación.

01

Haz el inventario

Cada servidor, VM, nodo de Kubernetes y appliance con Linux. Los contenedores usan el kernel del host, así que el que cuenta es el del host.

02

Parcha donde ya se puede

Debian, productos específicos de SUSE y Oracle UEK tienen correcciones. Para Amazon, verifica aviso, rama del kernel y disponibilidad en el repositorio antes de elegir un paquete. Para Leap, verifica producto, variante del kernel, versión-release del RPM, arquitectura y repositorio oficial contra la actualización 1973; reinicia con el kernel actualizado y verifica el paquete en ejecución. Los paquetes de fuentes/desarrollo por sí solos no corrigen el kernel en ejecución. Revisa SP7 a diario. Para Micro, verifica producto, variante default/base/RT, versión-release completa del RPM, arquitectura y repositorio oficial contra su propio aviso. Reinicia con el kernel actualizado y verifica el paquete en ejecución. No consideres corregido RT de Micro 5.3 por actualizar default/base.

03

Reinicia

Un kernel nuevo en disco no protege nada hasta que el equipo arranca con él. Compara uname -r con el kernel instalado.

04

Reduce la exposición en Ubuntu y RHEL

Cierra servicios TCP públicos innecesarios y agenda el reinicio. La guía oficial de filtrado de Red Hat reduce la exposición, pero no previene completamente el problema y puede interrumpir cargas de trabajo. Pruébala antes; no sustituye el parche.

05

Revisa los listeners MPTCP

Go 1.24 activa MPTCP por defecto para listeners en Linux. GODEBUG=multipathtcp=0 cambia ese valor, pero las APIs por socket lo sobrescriben. El equipo de Go lo considera frágil y recomienda un kernel corregido; el bug no es específico de MPTCP.

06

Vigila los logs del kernel

Busca ip_options_build, ip_build_and_send_pkt o skb_under_panic en journalctl -k.

Verificación rápida en cada servidor
# Kernel en uso y reinicio pendiente
uname -r
[ -f /var/run/reboot-required ] && echo "Reinicio pendiente"   # Debian/Ubuntu
needs-restarting -r                                          # RHEL

# ¿El kernel instalado incluye la corrección?
apt changelog linux-image-$(uname -r) | grep CVE-2026-98432  # Debian/Ubuntu
rpm -q --changelog kernel-$(uname -r) | grep CVE-2026-98432  # RHEL

# Listeners MPTCP y señales en el log
ss -Mlnp
journalctl -k | grep -E 'ip_options_build|ip_build_and_send_pkt|skb_under_panic'

[ 006 ]La evaluación de iNBest

Sabemos qué está expuesto antes de que alguien más lo pruebe.

Anthropic demostró acceso remoto como root con un exploit escrito por IA. Sus etapas de fuga de 48 minutos y ejecución de 5 minutos miden tiempo de ejecución, no de desarrollo. Nuestra evaluación de ciberseguridad empieza por esta falla y te deja un mapa claro de tu riesgo en Linux.

Cómo empieza

  1. 01

    Llamada de 30 minutos

    Un ingeniero de seguridad revisa tu huella de Linux y tu nube.

  2. 02

    Alcance

    Acordamos sistemas, accesos y tiempos, por escrito.

  3. 03

    Reporte

    Lista de sistemas expuestos, qué se parchó o mitigó y los siguientes pasos.

Agenda tu evaluación gratuita Probar AIHACKERS en línea

O escríbenos a [email protected]

Si iNBest ya administra tu infraestructura, ya estamos revisando tus sistemas y te contactaremos para confirmar su estado.

  • Inventario de Linux

    Servidores, VMs, nodos y appliances con distribución, kernel en uso y kernel instalado.

  • Mapa de exposición

    Qué servicios TCP responden desde internet, incluidos listeners MPTCP.

  • Plan de parche y reinicio

    Orden por riesgo, ventanas de reinicio y seguimiento de los avisos de Ubuntu y Red Hat.

  • Controles mientras llega el parche

    Reglas de firewall y security groups para cerrar lo que no debe estar expuesto.

  • Revisión de compromiso

    Logs del kernel, procesos, cuentas y persistencia en los equipos expuestos.

  • Pentest con IA (opcional)

    AIHACKERS prueba tus aplicaciones web y APIs con IA y entrega hallazgos verificados.

[ 007 ]Autoevaluación

Cinco preguntas. Con honestidad.

Responde por tu empresa. No se envía nada.

Tenemos la lista completa de servidores, VMs y nodos Linux, con el kernel que corre cada uno.

Sabemos qué servicios TCP de esos equipos responden desde internet.

Podemos parchar y reiniciar un servidor de producción en menos de 72 horas.

Ya revisamos el aviso de nuestra distribución para CVE-2026-98432.

Notaríamos en horas un reinicio inesperado o un error raro en el log del kernel.

0 de 5 respondidas

Responde las 5 para ver tu resultado.

Agenda tu evaluación gratuita

[ 008 ]Preguntas frecuentes

Lo que más nos preguntan.

¿Ya lo están explotando?

CVE-2026-98432 no aparece en el catálogo KEV de CISA 2026.10.30, publicado el 30 oct. Esto no establece ausencia de ataques, un conteo de cero al 29 oct ni ausencia de código de exploit público. Anthropic describe una demostración funcional; sigue revisando fuentes autorizadas.

¿Solo afecta a servidores con MPTCP?

No necesariamente. El exploit de Anthropic se probó contra un servidor con un listener MPTCP, pero ni el CVE ni la corrección mencionan MPTCP, y el equipo de Go dice que el bug no es específico de MPTCP.

¿Mis contenedores están afectados?

Los contenedores usan el kernel del host. Lo que hay que parchar y reiniciar es el host o el nodo.

Usamos solo IPv6. ¿Estamos fuera?

El CVE dice que IPv6 no está afectado por el primer problema porque copia las opciones, pero identifica otro problema de CALIPSO/migración de solicitudes para otro parche. No es una garantía general de seguridad en IPv6. Revisa si tus sistemas también aceptan IPv4.

No hay parche para Ubuntu. ¿Qué hacemos?

Cierra servicios TCP públicos innecesarios, prepara el reinicio y vigila el aviso del paquete exacto del kernel de Ubuntu. Red Hat ofrece una guía de filtrado que reduce la exposición pero no previene completamente el problema; prueba su impacto operativo. Sigue siendo necesario parchar.

¿Trabajan en México y en Estados Unidos?

Sí. iNBest tiene ingenieros en México y Estados Unidos y trabaja en español e inglés.

[ 009 ]Fuentes

Registros primarios revisados el 31 oct 2026. Las páginas mutables no prueban disponibilidad histórica. Se conservan abajo las referencias secundarias originales como procedencia, no como guía actual del proveedor.