Un fallo crítico en el TCP de Linux permite a un atacante remoto tomar el control como root
TCP Use-After-Free: CVE-2026-98432 / CVSS 9.8
El CVE-2026-98432, un use-after-free en el handshake TCP de IPv4, afecta a todos los kernels Linux desde la versión 4.4 y tiene una puntuación CVSS de 9.8. Aunque el parche upstream ya está disponible, distribuciones como Ubuntu y RHEL aún no lo han aplicado. Anthropic reveló que su modelo Claude creó un exploit funcional que otorga acceso root remoto en servidores con un listener de multipath TCP, sin necesidad de credenciales.
Anthropic afirma que una carrera perdida «solo hace fallar el handshake sin colapsar todo el sistema, por lo que un atacante decidido puede reintentarlo indefinidamente hasta lograrlo».
- asveikau
> Fallo de uso después de liberación (Use-After-Free) en TCP: CVE-2026-98432 / CVSS 9.8
Sé que en HN es costumbre editar los títulos para eliminar información superflua, pero quitar "Linux" aquí realmente elimina algo útil y relevante. Esta es una vulnerabilidad de Linux. Si usas *BSD, Mac o Windows, no te afecta.
- peanut-walrus
Algunas notas que tengo sobre esto:
- MPTCP no es un requisito, es un use-after-free genérico.
- La explotabilidad a través de internet es poco probable; la mayoría de los routers de los ISP descartan paquetes con campos de opciones IP.
- Al menos según Red Hat, descartar tú mismo los paquetes con opciones IP ayuda, pero no es una mitigación completa.
- Un exploit exitoso requiere múltiples núcleos de CPU para procesar paquetes, por lo que los sistemas con un solo núcleo o con el procesamiento de paquetes fijado a un solo núcleo no se ven afectados.
- swinglock
¿Cómo es que Ubuntu y RHEL no lo han parcheado? Pocos sistemas operativos se promocionan más como adecuados para servidores. ¿Qué están haciendo allí?
- teekert
He estado recopilando una lista de feeds RSS de ciberseguridad para construir una pequeña automatización (con supervisión del agente Hermes) que me avise (ntfy.sh o simplemente Telegram) cuando un CVE requiera mi intervención (emparejándolos con una lista de servicios que gestiono para clientes y para mí).
Mi lista (de feeds) aún es pequeña, pero este CVE no apareció, ¿alguno de ustedes tiene consejos sobre feeds RSS que usar para este propósito?
- grey-area
Todavía no hay parches para Ubuntu ni Red Hat.
- Shank
Al menos si estás en Amazon Web Services detrás de un balanceador de carga, probablemente no te veas tan afectado como para pasar Halloween parcheando.
> AWS Web Application Firewall, Application Load Balancer, Classic Load Balancer, TLS Listeners en Network Load Balancer, Cloud Front, API Gateway
> Los clientes que utilizan los servicios anteriores no reciben conexiones TCP de fuentes no confiables directamente cuando siguen las mejores prácticas. AWS está aplicando actualizaciones a la infraestructura subyacente de estos servicios y no se requiere ninguna acción inmediata del cliente si utiliza estos servicios. Aun así, recomendamos a los clientes actualizar sus instancias autogestionadas detrás de estos servicios en los próximos 30 días.
[0]: https://aws.amazon.com/security/security-bulletins/2026-160-...
- winwang
Tranquilos, chicos, los autores simplemente no saben escribir buen C. Un verdadero programador de C no habría publicado un bug de use-after-free tan básico. Rust es solo una muleta.
- 9cb14c1ec0
Supongo que no soy el único que se siente agotado por esta marea de vulnerabilidades que de alguna manera tengo que seguir.