📻 Versión en audio: si prefieres escuchar en vez de leer, el resumen del artículo está justo aquí arriba.
El viernes 30 de octubre a las 18:10 UTC, Linode (Akamai) publicó un aviso de seguridad para sus clientes:CVE-2026-98432, un use-after-free en el código TCP de IPv4 del kernel de Linux, mitigaciones en camino y una instrucción explícita: aplica las actualizaciones de tu distribución lo antes posible. Detrás hay una historia que mezcla el kernel más usado del planeta con la forma más nueva de encontrar bugs: el exploit funcional lo escribió una IA.
El bug: una carrera de más de una década
Es un problema clásico de kernel: una carrera. El código que arma las conexiones IPv4 entrantes libera las opciones del socket mientras otra CPU puede estar leyéndolas todavía. Si el cliente retransmite un SYN justo en ese instante, el kernel construye un SYN-ACK desde memoria ya liberada. El equipo de seguridad del kernel lo califica 9.8 sobre 10, crítico: alcanzable por red, sin credenciales, sin interacción del usuario, antes de que tu aplicación vea la conexión. El error vuelve al commit 079096f103fa, o sea, desde Linux 4.4: más de diez años de dormido.
Lo que sube la dosis: según Anthropic, el 27 de octubre contó que su modelo de investigación interno, tras un prompt inicial, escribió el exploit completo en dos etapas. Primero derrotó KASLR a distancia usando la carrera para sobrelleer campos y filtrar un puntero del kernel: 48 minutos en su PoC. Después sobrescribió un callback para ejecutar comandos como root: cinco minutos más. Cero clics, cero credenciales. Y como perder la carrera solo aborta el handshake sin tumbar el servidor, el atacante puede insistir indefinidamente. El exploit no se publicó, y al cierre no estaba en el catálogo de CISA ni había reportes de explotación en la wild.
El detalle que puede morderte: MPTCP
El exploit demostrado exige un listener Multipath TCP. Suena a caso raro, pero viene la trampa: desde Go 1.24, los binarios escritos en Go habilitan MPTCP por defecto en sus sockets de escucha en Linux. Si corres servicios en Go — Caddy, workers, agentes de monitoreo — es probable que tengas listeners MPTCP abiertos sin haberlo pedido. El equipo de Go avisó además que desactivarlo programa por programa es una mitigación frágil: basta un solo listener olvidado. Su recomendación es la misma que la de todos: parchear el kernel.
Estado del parcheo, verificado
Debian, Oracle Linux, SUSE y Amazon Linux ya tienen kernel con el fix; AlmaLinux subió su backport a repositorios de testing el 30 de octubre. Ubuntu y Red Hat Enterprise Linux seguían sin paquete liberado al cierre. Eso deja a una parte enorme del parque de VPS del mundo — la que corre Ubuntu LTS — dependiendo de una mitigación de red mientras sale el kernel nuevo. Red Hat publicó una regla nftables de emergencia que descarta paquetes IPv4 con opciones TCP activadas; sirve como venda, no como cura.
En mi flota personal, Ubuntu: mientras escribía esto, mi servidor principal seguía en el kernel 6.8.0-147, sin fix disponible. Los unattended-upgrades que tanto celebro no valen nada acá, porque el fix exige kernel nuevo y reinicio. Es el recordatorio incómodo de cada CVE de kernel: un parche que requiere reboot no es «un cron más», es una pega con ventana planificada y verificación. Si la postergas, la exposición es tuya, no del proveedor.
Lo que más me tiene pensando no es el bug. Es la velocidad: bug descubierto, exploit probado, kernel parcheado upstream, avisos de proveedores y guías de mitigación, todo en menos de una semana y sin humano escribiendo el exploit a mano. Esa capacidad antes era de un puñado de teams especializados; ahora la salta un modelo con un prompt. La respuesta defensiva es aburrida pero urgente: inventaria tus kernels, revisa el tracker de tu distro, parchea y reinicia en cuanto exista el fix, y asume que el próximo CVE con PoC funcional también vendrá escrito por una IA.
Al cierre de esta nota el exploit no había sido publicado ni se reportaba explotación activa. La situación cambia rápido: revisa el estado de tu distribución antes de actuar.
Fuente del tema: Customer Security Advisory: CVE-2026-98432, del aviso de Akamai/Linode a sus clientes.
Fuente de inspiración: Customer Security Advisory: CVE-2026-98432 (Linode/Akamai)
