La publicación coordinada de avisos de seguridad por parte de Arista, Check Point, Akamai y Aikido el 2 de noviembre de 2026 eleva la urgencia en torno a CVE-2026-98432, una vulnerabilidad de tipo use-after-free en el manejo de opciones IPv4 durante el handshake TCP del kernel Linux. El fallo, presente desde la versión 4.4, permite ejecución remota de código sin credenciales y ha sido calificada con CVSS 9.8 por el propio equipo de CVE del kernel.
Naturaleza de la vulnerabilidad y alcance
El defecto reside en la función tcp_v4_syn_recv_sock y en ip_options_build, donde una carrera de condiciones permite liberar memoria que sigue siendo referenciada durante el procesamiento de opciones IPv4 como Record Route o Timestamp. Según el análisis de Aikido, el bug fue introducido en Linux 4.4 y afecta a todas las ramas estables posteriores, lo que implica una superficie de ataque masiva en cualquier host con un puerto TCP IPv4 expuesto a redes no confiables.
El equipo de CVE del kernel asigna una puntuación base CVSS 3.1 de 9.8 (vector AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H), lo que refleja la gravedad máxima en confidencialidad, integridad y disponibilidad. Arista Networks confirma este vector en su aviso 0203 y añade una puntuación CVSS 4.0 de 9.2, aunque matiza que la explotación conocida requiere MPTCP habilitado. La ausencia de explotación in-the-wild al 29 de octubre, confirmada por Aikido y CISA KEV, no reduce el riesgo teórico.
El parche upstream, autorado por Eric Dumazet, sustituye kfree() por kfree_rcu() en inet_sock_destruct() y tcp_v4_reqsk_destructor(), garantizando que la liberación ocurra tras un período de gracia RCU. Las versiones fijadas incluyen 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 y 7.3, según detalla Akamai en su análisis técnico. La corrección no menciona MPTCP, lo que sugiere que la causa raíz es independiente de esa extensión.
El factor MPTCP y la demostración de Anthropic
Anthropic reveló el 27 de octubre que un modelo de investigación no publicado, identificado como Claude, logró desarrollar un exploit funcional que concede root remoto en servidores con un listener MPTCP activo. La fuga de direcciones del kernel (KASLR) tomó aproximadamente 48 minutos y la ejecución de comandos 5 minutos adicionales, según el informe citado por Aikido. Este hallazgo transforma la vulnerabilidad de teórica a prácticamente explotable bajo condiciones específicas.
La condición necesaria para ese exploit es que net.mptcp.enabled=1. El equipo de seguridad de Go advirtió el 29 de octubre que Go 1.24 y posteriores activan MPTCP por defecto en sockets de escucha Linux, lo que convierte a cualquier servicio escrito en Go (microservicios, APIs, sidecars) en objetivo potencial sin intervención del administrador. Akamai subraya que esto amplía drásticamente la superficie de ataque en entornos cloud-native.
Sin embargo, el equipo de seguridad de Go también advierte que el bug subyacente reside en el código IPv4 TCP ordinario, no en la lógica MPTCP. Por tanto, sistemas sin listeners MPTCP podrían ser vulnerables a ataques similares que aprovechen la misma race condition. CloudLinux indica que no ha podido reproducir el exploit de Anthropic, lo que sugiere que la explotación práctica puede requerir condiciones de temporización muy específicas.
Estado de parches en distribuciones enterprise
Al 30 de octubre, Debian, Oracle Linux (UEK), SUSE y Amazon Linux 2023 ya distribuyen kernels con el parche aplicado, mientras que Ubuntu 22.04, 24.04 y 26.04, así como RHEL 8, 9 y 10, carecen de kernels fijados. Aikido detalla que Ubuntu tiene los fixes en progreso y Red Hat los lista como afectados sin fecha de liberación, creando una ventana de exposición prolongada para flotas gestionadas con estas distribuciones.
Arista Networks informa que sus dispositivos NDR son vulnerables por defecto, ya que MPTCP no es configurable en esa plataforma. La mitigación automática consiste en deshabilitar MPTCP en todas las plataformas no air-gapped, aunque el problema subyacente persiste en el código IPv4. Los puntos de acceso Wi-Fi solo quedan expuestos cuando operan en modo OpenConfig, según el aviso 0203 de noviembre.
Check Point Research ya incluye una firma IPS para CVE-2026-98432 en su informe de inteligencia de amenazas del 2 de noviembre, lo que permite bloqueo perimetral de intentos de explotación. No obstante, la detección basada en firmas puede ser evadida si el atacante modifica las opciones IPv4 o fragmenta el handshake. La ausencia de indicadores de compromiso claros, señalada por Arista, complica la respuesta posterior a incidente.
Mitigaciones inmediatas y sus límites
La única remediación completa es actualizar el kernel a una versión fijada y reiniciar el sistema, lo que elimina la race condition mediante kfree_rcu. En distribuciones sin fix disponible (Ubuntu, RHEL) esta opción no aplica aún. Aikido y Akamai recalcan que verificar el kernel en ejecución con uname -r es esencial, pues un paquete instalado sin reboot no mitiga la vulnerabilidad.
Como medida temporal, se recomienda deshabilitar MPTCP y la migración de request sockets mediante sysctl persistente: net.mptcp.enabled=0 y net.ipv4.tcp_migrate_req=0. Esto reduce la probabilidad de ganar la carrera, pero no elimina el bug, que reside en el camino rápido IPv4. El equipo de Go advierte que la desactivación por programa es frágil y puede revertirse en actualizaciones del runtime o de la biblioteca estándar.
Bloquear paquetes IPv4 con opciones (Record Route, Timestamp) mediante iptables o nftables impide la entrega de los vectores necesarios para disparar el UAF. Aikido proporciona una regla u32 de ejemplo:
iptables -I INPUT 1 -m u32 --u32 '0>>24&0x0f=6:15' -j DROPEsta medida puede romper aplicaciones legítimas que dependen de opciones IP, como algunos sistemas de medición de red, y AWS publica una regla stateful para Network Firewall.
Recomendaciones operativas y seguimiento
Colocar los hosts detrás de un balanceador de carga gestionado que termine la conexión TCP (ALB, NLB con TLS, CloudFront, API Gateway) aísla el kernel del handshake crudo. Un proxy local (nginx, HAProxy) en el mismo host no protege, porque su kernel sigue expuesto. Los listeners NLB TCP y Global Accelerator requieren igualmente el parche en la instancia, según Aikido.
Realizar un inventario priorizado escaneando el kernel en ejecución y la alcanzabilidad MPTCP es crítico. El comando ss -M -l -n -p -e lista listeners MPTCP activos; combinado con consultas a plataformas como Guardicore o Aikido permite enfocar la remediación en hosts expuestos a Internet. Un host parcheado pero sin reboot sigue vulnerable, por lo que la verificación debe ser del kernel running.
Monitorizar los advisories de Ubuntu y Red Hat y aplicar los parches en cuanto se publiquen cierra la brecha en las distribuciones enterprise más extendidas. Red Hat califica la vulnerabilidad como 5.9 (Moderado) argumentando que la race es difícil de ganar, pero la demostración de Anthropic contradice esa evaluación. La discrepancia subraya la necesidad de tratar CVE-2026-98432 como crítica hasta que el fix esté desplegado en toda la flota.
Ficha estructurada para consulta y agentes de IA
{
"format": "rafael-fuentes-article/1.0",
"language": "es",
"title": "CVE-2026-98432: UAF remoto en TCP IPv4 del kernel Linux — exploit root demostrado por IA",
"summary": "Análisis de CVE-2026-98432: use-after-free crítico en TCP IPv4 del kernel Linux, exploit root demostrado por IA, MPTCP activado por defecto en Go 1.24 y estado de parches en Ubuntu/RHEL.",
"author": "Rafael Fuentes",
"publicationDate": "2026-11-03T19:48:38.778+01:00",
"eventDate": "2026-11-02",
"url": "https://falifuentes.com/rafael-fuentes-2026-11-03-prueba-real-es/",
"translation": {
"language": "en",
"url": "https://falifuentes.com/rafael-fuentes-2026-11-03-prueba-real-en/"
},
"topics": [
"Ciberseguridad",
"Español",
"IA",
"Inteligencia artificial",
"Noticias de Ciberseguridad"
],
"sources": [
"https://www.aikido.dev/blog/linux-kernel-tcp-rce-vulnerability-cve-2026-98432",
"https://www.akamai.com/blog/security-research/cve-2026-98432-remote-uaf-linux-kernels-tcp-stack"
]
}