Tres agujeros en Linux
La Agencia de Ciberseguridad y Seguridad de las Infraestructuras de Estados Unidos (CISA) ha añadido tres vulnerabilidades del núcleo de Linux a su catálogo Known Exploited Vulnerabilities (KEV), que recoge fallos conocidos que ya se utilizan en ataques reales. Para las agencias civiles federales estadounidenses esto implica una obligación: instalar las correcciones dentro del plazo establecido o dejar de utilizar el producto vulnerable.
Se trata de CVE-2025-39682, con una puntuación crítica de 9,8 sobre 10; CVE-2026-53266, con una puntuación alta de 8,8; y CVE-2025-39964, valorada también con un 7,8. Los tres fallos ya se han corregido en el núcleo de Linux.
CVE-2025-39682 se corrigió en las versiones estables 6.1.149, 6.6.103, 6.12.44 y 6.16.4. CVE-2025-39964 está corregida en las versiones 5.10.245, 5.15.194, 6.1.154, 6.6.108, 6.12.49 y 6.16.9. La corrección de CVE-2026-53266 se incorporó al proyecto principal de Linux y se trasladó a las ramas estables mantenidas y a los núcleos de las distribuciones, incluidos 5.10.259, 6.1.176 y 6.12.94.
El primer problema se debe a una comprobación incorrecta de condiciones inusuales o excepcionales en el mecanismo de recepción de TLS, un protocolo de red seguro. Si se utiliza la ruta vulnerable de kTLS, un atacante sin cuenta puede conseguir que se revelen datos de la memoria o provocar una denegación de servicio. En algunos escenarios tampoco se descarta la ejecución remota de código arbitrario, aunque esa posibilidad depende de la configuración del sistema.
CVE-2026-53266 es un error de escritura fuera de los límites de la memoria asignada en el mecanismo que reescribe direcciones ARP para las reglas ebtables SNAT. Un atacante local puede aprovecharlo para elevar privilegios o detener el sistema. La vulnerabilidad afecta a configuraciones que utilizan los mecanismos correspondientes de bridge/netfilter.
CVE-2025-39964 es una condición de carrera causada por escrituras simultáneas en el mismo socket AF_ALG. AF_ALG es la interfaz del núcleo de Linux para operaciones criptográficas. Un atacante local puede provocar un fallo del sistema, corromper los resultados de los cálculos y comprometer la integridad de los datos, hasta causar una denegación de servicio.
Red Hat ha confirmado que las tres vulnerabilidades se utilizan en ataques y ha recomendado corregirlas con la máxima prioridad. No se ha informado de quién está utilizando los exploits, contra qué objetivos ni con qué propósito. Por ahora no hay informes públicos independientes sobre ataques vinculados directamente a estos CVE.
CISA incorporó las vulnerabilidades al catálogo KEV el 18 de septiembre de 2026 y fijó un plazo inusualmente corto: hasta el 21 de septiembre. Normalmente las agencias civiles federales disponen de tres semanas, y el plazo de tres días se reserva para casos excepcionales. Al parecer, esta vez han decidido no comprobar lo rápido que puede arder una sala de servidores.
Para CVE-2025-39682 hay una medida de mitigación posible: impedir la carga del módulo tls, siempre que eso no interrumpa el funcionamiento del sistema. Para CVE-2026-53266 se recomienda desactivar la reescritura de direcciones ARP de hardware en las reglas ebtables SNAT o eliminar las reglas SNAT que procesan tráfico ARP en interfaces bridge. Para CVE-2025-39964 no hay una solución temporal eficaz: es necesario instalar el parche.
El riesgo depende de la versión concreta del núcleo y de cómo esté desplegado el sistema. A principios de 2026, los investigadores también divulgaron otras cuatro vulnerabilidades locales de elevación de privilegios: DirtyAH6 (CVE-2026-80844), TUNderflow (CVE-2026-81000), PPPoEject (CVE-2026-68121) y DiagSpill (CVE-2026-74469). Para los administradores rusos, la conclusión práctica es sencilla: comprobar la versión del núcleo, actualizar los paquetes mantenidos y no dar por sentado que una vulnerabilidad «local» es segura por sí sola.
PEREC.RU
CISA ha añadido tres vulnerabilidades del núcleo de Linux al catálogo Known Exploited Vulnerabilities (KEV), ya que se están utilizando en ataques reales. Las agencias civiles federales de Estados Unidos deben instalar las correcciones o dejar de usar los componentes vulnerables. El plazo fue de solo tres días, hasta el 21 de septiembre de 2026. CISA suele conceder unas tres semanas, así que la reducción del plazo indica que el problema es prioritario.
La vulnerabilidad CVE-2025-39682 tiene una puntuación crítica de 9,8 sobre 10. Está relacionada con un tratamiento incorrecto de condiciones excepcionales en la ruta de recepción de TLS, incluido kTLS, el mecanismo de TLS del núcleo de Linux. Con una configuración determinada, un atacante remoto sin autenticación puede provocar la exposición de datos de la memoria o una denegación de servicio. En teoría, también son posibles consecuencias más graves, como ejecutar código arbitrario, pero dependen del escenario y de los ajustes concretos del sistema. Se han publicado correcciones, entre otras, para las ramas 6.1.149, 6.6.103, 6.12.44 y 6.16.4.
CVE-2026-53266 tiene una puntuación de 8,8 sobre 10. Es una vulnerabilidad de escritura fuera de los límites de la memoria asignada en un parche que reescribe direcciones ARP para ebtables SNAT. Un atacante local puede elevar privilegios o provocar una denegación de servicio. El problema afecta especialmente a sistemas con la configuración correspondiente de bridge/netfilter. La corrección se ha incorporado a ramas mantenidas, incluidas 5.10.259, 6.1.176 y 6.12.94. Como medidas temporales, se recomienda desactivar la reescritura de direcciones ARP de hardware o eliminar las reglas ebtables SNAT que procesan tráfico ARP en interfaces bridge.
CVE-2025-39964 tiene una puntuación de 7,8. Permite que un atacante local aproveche una condición de carrera al escribir simultáneamente en el mismo socket AF_ALG. AF_ALG es la interfaz del núcleo para operaciones criptográficas. La explotación puede provocar un fallo, corromper los resultados de cálculos criptográficos, comprometer la integridad de los datos y causar una denegación de servicio. Hay correcciones para las ramas 5.10.245, 5.15.194, 6.1.154, 6.6.108, 6.12.49 y 6.16.9. No existe una medida temporal eficaz para esta vulnerabilidad.
Red Hat ha confirmado que los tres fallos se explotan en ataques reales, pero no ha indicado quién usa los exploits, contra quién se dirigen ni cuáles son sus objetivos. Por ahora tampoco hay informes públicos de incidentes directamente relacionados con estos CVE.
La recomendación práctica para los administradores de Linux en Rusia es identificar la versión del núcleo, instalar una actualización de una rama mantenida y comprobar si se utilizan kTLS, ebtables SNAT, ARP en interfaces bridge y AF_ALG. A principios de 2026 se divulgaron otras cuatro vulnerabilidades locales de elevación de privilegios: DirtyAH6 (CVE-2026-80844), TUNderflow (CVE-2026-81000), PPPoEject (CVE-2026-68121) y DiagSpill (CVE-2026-74469).
