Ubuntu deja sin parche una vulnerabilidad crítica que Debian ya corrigió
WTF Ubuntu?
CVE-2026-98432 es un fallo crítico (CVSS 9.8) en el código TCP del kernel Linux presente desde 2016 que permite a un atacante remoto obtener root. Anthropic afirma tener un exploit funcional. Debian lo parcheó el 16 de octubre, pero Ubuntu, que vende suscripciones de seguridad y promete parches oportunos, sigue marcando como vulnerables todas sus versiones compatibles, LTS incluidas. El autor, que ha apagado sus servidores Ubuntu, anuncia que migra todo a otra distribución.
Las distribuciones mantenidas por voluntarios (Debian, Arch, Alpine...) ya han publicado la corrección. Mientras tanto, Ubuntu, hecha por una empresa que vende suscripciones de seguridad, no lo ha hecho.
- BoppreH
Peor aún, la página de incidentes de seguridad de Ubuntu[0] indica "Ubuntu Priority: High" (en lugar de Critical, que sería lo que activaría un parche fuera de calendario). Hay un enlace de "Why this priority?" que simplemente dice:
> ¿Por qué es este CVE de alta prioridad?
> Véase la puntuación cvss de ubuntu
Y ya está, ni siquiera nos dan un punto final en esta frase a medio hacer. Le sigue un enlace genérico que explica qué es "Ubuntu Priority", pero esa página contradice su elección. Nótese que tampoco ofrece ninguna mitigación, e incluso la descripción (horriblemente poco clara) está copiada de la página de NIST, así que no hay ningún mensaje real por parte de Ubuntu.
Ya tuve mala espina la primera vez que vi "Get more security updates through Ubuntu Pro" en `apt upgrade`; esto es el empujón que necesitaba para pasarme a otra distro.
[0] https://ubuntu.com/security/CVE-2026-98432#priority-reason
- throw0101c
Para que conste, los kernels con las correcciones están en los repos "proposed" de cada versión LTS:
* https://launchpad.net/ubuntu/+source/linux
Puedes descargarlos añadiendo un "-t" a tu apt-get (pero no aparecerán por defecto).
En 26LTS el nuevo kernel pasó a los repos updates/security el 28 de octubre.
- alentred
Para ser justos: aunque es crítica (9.8), tiene una puntuación EPSS de <1% (probabilidad de que se use realmente). Según [1], [2] y otros, en el peor de los casos el problema provoca un kernel crash o una denegación de servicio. También leí el post de Anthropic, pero hay algo que simplemente no cuadra entre que todos dicen que es un DoS y que Anthropic por su cuenta afirme RCE. Hasta ahora los avisos que he leído dicen "bajo condiciones específicas ... resultan en un kernel crash" y cosas similares.
[1] https://app.opencve.io/cve/CVE-2026-98432
[2] https://aws.amazon.com/security/security-bulletins/2026-160-...
- paxy
Está bien criticar, pero al menos sé constructivo. Esta energía de "exijo hablar con el gerente" debería quedar fuera del open source.
El post no da ningún detalle sobre qué es esta vulnerabilidad, cuán crítica es, cómo les está afectando personalmente, cuán vulnerables son sus servidores, cómo la están sorteando.
Solo un titular diseñado para generar la máxima indignación seguido de unas cuantas líneas sin sentido.
- vanschelven
Sabía de qué iba esto antes de hacer clic en el enlace. Mientras intentaba encontrar remedios para sistemas vulnerables, también buscaba cualquier tipo de declaración "oficial" sobre qué demonios está pasando aquí por parte de Ubuntu, pero todavía no he sido capaz de encontrar ninguna. Supongo que tiene que pasar por la fase de "hacker news le presta suficiente atención como para que a alguien le importe" que todos conocemos tan bien...
- StrLght
¿Se ha comprometido alguna empresa por culpa de esta vulnerabilidad? Ubuntu tiene una base de instalaciones absolutamente masiva. La falta de incidentes notables sugiere que 9.8 podría no reflejar bien la realidad.
Quizá sea hora de un StealMyBitcoinV2...
- strenholme
Pues lo hice. Esta fue la gota que colmó el vaso: me he pasado a Rocky Linux. Me llevó unas cuatro horas hacer toda la transición.
Soy más usuario de RedHat, y Ubuntu nunca me resultó realmente cómodo. No me gusta tener que hacer actualizaciones incrementales cada dos años más o menos; preferiría hacer una única actualización grande cada 7-8 años y tener un entorno de desarrollo sólido como una roca. Además, `dnf` es más simple y estable que el lío de `apt-get` y `unattended-upgrades`.
- strenholme
Aquí está la página de Ubuntu sobre esta vulnerabilidad:
https://ubuntu.com/security/CVE-2026-98432
Sigue, más de una semana después de la divulgación y los parches, sin parchear en Ubuntu.
En cuanto a mí, una parte de mí quiere pasarse a Rocky Linux 10.
- bortimus
Cuando AWS está publicando parches para Amazon Linux 2 y Ubuntu sigue esperando... pues sí.
- imjonse
"Anthropic dice que construyó un exploit funcional que obtiene root en un servidor. Una toma de control total."
De la página del CVE de Ubuntu enlazada
"
Sistema vulnerable - Impacto en la confidencialidad Bajo
Sistema vulnerable - Impacto en la integridad Bajo
Sistema vulnerable - Impacto en la disponibilidad Alto
"
lo que sugiere que es más bien una denegación de servicio. Entonces, ¿cuál es cuál? Hay docenas de CVE del kernel corregidos en el correo de debian enlazado.