Se ha descubierto un fallo de seguridad crítico, identificado como CVE-2026-98432, en el manejo de las conexiones TCP IPv4 por parte del kernel de Linux. La vulnerabilidad es un error de uso después de la liberación (UAF) que ocurre durante el proceso de saludo inicial, antes de que se produzca cualquier autenticación a nivel de aplicación. Afecta a cualquier host Linux que acepte conexiones TCP IPv4, incluidos servidores web, demonios SSH y nodos de Kubernetes. La propia Autoridad de Numeración de CVE del kernel de Linux ha asignado al fallo una puntuación CVSS de 9.8, categorizándolo como un riesgo crítico porque puede ser alcanzado por un par remoto no autenticado.
La causa raíz técnica reside en cómo el kernel gestiona los 'request sockets' durante un saludo TCP. Cuando un par que se conecta incluye opciones IPv4 en su encabezado, el kernel guarda estas opciones para devolverlas en sus respuestas. El error ocurre porque el kernel transfiere la propiedad de estas opciones a un nuevo socket de conexión sin copiarlas y, acto seguido, libera la memoria. Si otro núcleo de CPU intenta leer esa memoria simultáneamente para construir una respuesta de saludo, accede a memoria del kernel ya liberada. Esto puede provocar la divulgación de memoria del heap del kernel, escrituras fuera de límites o un fallo del sistema. Investigadores de Anthropic informaron que un modelo de IA generó con éxito un exploit de prueba de concepto capaz de ejecutar comandos arbitrarios como root en servidores que ejecutan un receptor de TCP multipath (MPTCP).
Esta imagen ilustra el proceso de saludo TCP descrito en la sección de la causa raíz técnica.
Esta visual apoya la explicación del proceso de saludo inicial mencionado en el segundo párrafo.
Si bien la solución upstream implica cambiar las llamadas a `kfree()` por `kfree_rcu()` para asegurar que la memoria solo se libere después de que todos los lectores hayan terminado, la disponibilidad del parche varía según la distribución. A finales de octubre de 2026, varias plataformas importantes como Ubuntu y Red Hat (RHEL 8, 9 y 10) aún no han publicado correcciones para sus respectivos kernels. Para los sistemas que no pueden parchearse de inmediato, los investigadores de seguridad sugieren una mitigación provisional: descartar los paquetes TCP que transportan opciones IPv4. Dado que el tráfico TCP legítimo rara vez utiliza estas opciones, tal regla puede implementarse a nivel de firewall para bloquear la ruta específica utilizada por la vulnerabilidad sin afectar las conexiones estándar.