[{"data":1,"prerenderedAt":-1},["ShallowReactive",2],{"blog-/blog/noticias/kernel-linux-cve-2026-98432-tcp-remota-critica-fragnesia":3,"prev-/blog/noticias/kernel-linux-cve-2026-98432-tcp-remota-critica-fragnesia":600,"next-/blog/noticias/kernel-linux-cve-2026-98432-tcp-remota-critica-fragnesia":577,"related-/blog/noticias/kernel-linux-cve-2026-98432-tcp-remota-critica-fragnesia":603,"author-Diego Herrera":622},{"id":4,"title":5,"author":6,"authorUrl":7,"body":8,"category":553,"cta":554,"date":560,"dateModified":560,"description":561,"draft":562,"extension":563,"faq":564,"featured":562,"howto":577,"image":578,"imageAlt":579,"intent":580,"keywords":581,"meta":586,"navigation":587,"path":588,"publishedTime":589,"readingTime":590,"seo":591,"seoTitle":592,"stem":593,"tags":594,"__hash__":599},"blog/blog/noticias/kernel-linux-cve-2026-98432-tcp-remota-critica-fragnesia.md","Kernel de Linux: CVE-2026-98432 permite atacar servidores por TCP sin contraseña y aún no hay parche para Ubuntu ni Red Hat","Diego Herrera","/autores/diego-herrera",{"type":9,"value":10,"toc":542},"minimark",[11,48,59,64,147,162,173,178,197,208,211,215,218,296,303,307,323,333,336,342,345,371,389,396,400,433,448,467,471,517,530,533],[12,13,14,15,19,20,23,24,27,28,31,32,35,36,39,40,43,44,47],"p",{},"Red Hat publicó el ",[16,17,18],"strong",{},"viernes 30 de octubre de 2026"," el boletín ",[16,21,22],{},"RHSB-2026-016"," sobre ",[16,25,26],{},"CVE-2026-98432",", una vulnerabilidad del ",[16,29,30],{},"kernel de Linux"," en el manejo de conexiones ",[16,33,34],{},"TCP sobre IPv4",", y la calificó como ",[16,37,38],{},"crítica",", con ",[16,41,42],{},"CVSS 9.8"," (preliminar). Es el peor tipo de falla para un servidor: ",[16,45,46],{},"remota, sin usuario, sin contraseña y sin que nadie haga clic",". Un atacante que pueda mandarle paquetes a tu servidor puede, como mínimo, tumbarlo; en el peor caso, ejecutar código.",[12,49,50,51,54,55,58],{},"El problema es el calendario: a este ",[16,52,53],{},"sábado 31 de octubre",", ",[16,56,57],{},"Ubuntu y Red Hat todavía no tienen kernel corregido"," para sus versiones principales. Debian sí. Así que el fin de semana toca mitigar y dejar lista la actualización.",[60,61,63],"h2",{"id":62},"qué-se-sabe","Qué se sabe",[65,66,67,80],"table",{},[68,69,70],"thead",{},[71,72,73,77],"tr",{},[74,75,76],"th",{},"Dato",[74,78,79],{},"Detalle",[81,82,83,91,99,107,115,123,131,139],"tbody",{},[71,84,85,89],{},[86,87,88],"td",{},"Vulnerabilidad",[86,90,26],{},[71,92,93,96],{},[86,94,95],{},"Componente",[86,97,98],{},"Kernel de Linux, código TCP de IPv4",[71,100,101,104],{},[86,102,103],{},"Tipo",[86,105,106],{},"Uso de memoria liberada (use-after-free) por condición de carrera",[71,108,109,112],{},[86,110,111],{},"Calificación",[86,113,114],{},"CVSS 9.8 (Red Hat y Ubuntu); Red Hat la marca como crítica",[71,116,117,120],{},[86,118,119],{},"Requisitos",[86,121,122],{},"Ninguno: remota, sin autenticación ni interacción",[71,124,125,128],{},[86,126,127],{},"Versiones",[86,129,130],{},"Kernels desde la 4.4, según BleepingComputer",[71,132,133,136],{},[86,134,135],{},"Explotación en ataques reales",[86,137,138],{},"No confirmada al 30 de octubre",[71,140,141,144],{},[86,142,143],{},"Parche",[86,145,146],{},"Debian sí; Ubuntu y RHEL en preparación",[12,148,149,150,153,154,157,158,161],{},"La falla, explica Red Hat, aparece cuando el kernel procesa al mismo tiempo ",[16,151,152],{},"solicitudes de conexión TCP retransmitidas"," o ",[16,155,156],{},"migraciones de sockets",": libera las opciones del socket mientras todavía se están usando. Ubuntu, que la publicó el 15 de octubre y actualizó su ficha el 30, aclara que ",[16,159,160],{},"IPv6 no está afectado"," por el problema principal.",[12,163,164,165,168,169,172],{},"Sobre la gravedad hubo idas y vueltas. BleepingComputer reportó que Red Hat la había calificado con ",[16,166,167],{},"5.9",", como posible denegación de servicio, por lo difícil de explotarla. Su ficha actual dice otra cosa: ",[16,170,171],{},"9.8, crítica",", porque no requiere credenciales y los servicios TCP por defecto quedan expuestos, aunque reconoce que ejecutar código de forma confiable exige un control preciso de la memoria.",[174,175,177],"h3",{"id":176},"por-qué-subió-el-tono","Por qué subió el tono",[12,179,180,181,184,185,188,189,192,193,196],{},"Según BleepingComputer, ",[16,182,183],{},"Anthropic"," informó que un modelo de Claude aún no lanzado construyó en unos ",[16,186,187],{},"53 minutos"," un exploit que esquivó las protecciones de memoria (KASLR) y ",[16,190,191],{},"ejecutó comandos como root"," en un servidor Linux con un ",[16,194,195],{},"listener MPTCP"," (TCP multiruta). Sin MPTCP no se ha demostrado ejecución remota, pero la falla también afecta al TCP normal.",[12,198,199,200,203,204,207],{},"Un detalle práctico que menciona el mismo reporte: ",[16,201,202],{},"Go 1.24 y posteriores activan MPTCP por defecto"," en los listeners TCP en Linux cuando el kernel lo soporta. Servicios escritos en Go podrían tener MPTCP expuesto sin que nadie lo sepa. Ojo: ",[16,205,206],{},"desactivar MPTCP no basta",", porque el TCP ordinario también dispara la falla.",[209,210],"ad-banner",{},[60,212,214],{"id":213},"mi-distribución-ya-tiene-parche","¿Mi distribución ya tiene parche?",[12,216,217],{},"Estado al 30 de octubre de 2026, según las fichas de Ubuntu y Red Hat y el resumen de BleepingComputer:",[65,219,220,230],{},[68,221,222],{},[71,223,224,227],{},[74,225,226],{},"Distribución",[74,228,229],{},"Estado",[81,231,232,240,248,256,264,272,280,288],{},[71,233,234,237],{},[86,235,236],{},"Debian 12",[86,238,239],{},"Corregido en kernel 6.1.190-1",[71,241,242,245],{},[86,243,244],{},"Debian 13",[86,246,247],{},"Corregido en kernel 6.12.113-1",[71,249,250,253],{},[86,251,252],{},"Ubuntu 22.04, 24.04, 26.04 y 26.10",[86,254,255],{},"Vulnerable; parche en preparación",[71,257,258,261],{},[86,259,260],{},"Ubuntu 16.04, 18.04 y 20.04",[86,262,263],{},"Vulnerable (sin versión en preparación listada)",[71,265,266,269],{},[86,267,268],{},"RHEL 8, 9 y 10, OpenShift",[86,270,271],{},"Afectado; Red Hat acelera las correcciones",[71,273,274,277],{},[86,275,276],{},"RHEL 7",[86,278,279],{},"No afectado, según BleepingComputer",[71,281,282,285],{},[86,283,284],{},"Rocky Linux 8, 9 y 10",[86,286,287],{},"Afectado",[71,289,290,293],{},[86,291,292],{},"Oracle Linux, Amazon Linux, SUSE",[86,294,295],{},"Correcciones para algunas versiones",[12,297,298,299,302],{},"Ojo con los ",[16,300,301],{},"appliances"," que corren Linux por dentro (NAS, conmutadores telefónicos, NVR): dependen de que el fabricante saque firmware.",[60,304,306],{"id":305},"mitigación-mientras-sale-el-kernel","Mitigación mientras sale el kernel",[12,308,309,310,313,314,317,318,322],{},"Red Hat publicó una regla de ",[16,311,312],{},"nftables"," que descarta los paquetes ",[16,315,316],{},"TCP sobre IPv4 con opciones de IP"," (encabezado IP mayor a 20 bytes), que es lo que necesita el ataque. Se guarda en un archivo, por ejemplo ",[319,320,321],"code",{},"cve-2026-98432.nft",":",[324,325,330],"pre",{"className":326,"code":328,"language":329},[327],"language-text","table inet cve_2026_98432 {\n    chain input {\n        type filter hook input priority -310; policy accept;\n        ip protocol tcp ip hdrlength > 5 counter drop\n    }\n}\n","text",[319,331,328],{"__ignoreMap":332},"",[12,334,335],{},"Y se valida y aplica así:",[324,337,340],{"className":338,"code":339,"language":329},[327],"sudo nft --check --file cve-2026-98432.nft\nsudo nft --file cve-2026-98432.nft\nsudo nft list table inet cve_2026_98432\n",[319,341,339],{"__ignoreMap":332},[12,343,344],{},"Tres advertencias del propio boletín:",[346,347,348,355,361],"ul",{},[349,350,351,354],"li",{},[16,352,353],{},"No sustituye al parche."," Reduce la exposición; la corrección completa es el kernel nuevo.",[349,356,357,360],{},[16,358,359],{},"Puede afectar cargas de trabajo."," El tráfico normal no debería notarlo, porque las opciones TCP de siempre viajan en el encabezado TCP, no en el de IP. Aun así, pruébala primero en un equipo que no sea producción.",[349,362,363,366,367,370],{},[16,364,365],{},"Quítala después de parchar",": ",[319,368,369],{},"sudo nft delete table inet cve_2026_98432",".",[12,372,373,374,377,378,381,382,153,385,388],{},"Una regla aplicada a mano con ",[319,375,376],{},"nft"," ",[16,379,380],{},"no sobrevive un reinicio"," si no la agregas a la configuración persistente; si el servidor usa ",[319,383,384],{},"firewalld",[319,386,387],{},"ufw",", que quien lo administra la traduzca a esa herramienta.",[12,390,391,392,395],{},"Lo otro que sí funciona hoy: ",[16,393,394],{},"cerrar puertos",". Una base de datos o un ERP que solo usa la oficina no tiene por qué contestar a todo internet: restringir por IP o meterlo detrás de la VPN baja el riesgo de esta falla y de la siguiente.",[60,397,399],{"id":398},"y-el-plazo-de-fragnesia-vence-hoy","Y el plazo de Fragnesia vence hoy",[12,401,402,403,406,407,410,411,414,415,418,419,422,423,428,429,432],{},"La otra falla del kernel de esta semana sí está en ataques reales. ",[16,404,405],{},"Fragnesia (CVE-2026-46300)"," entró al catálogo de vulnerabilidades explotadas (KEV) de la CISA el ",[16,408,409],{},"28 de octubre"," con plazo al ",[16,412,413],{},"31 de octubre",", hoy. Es una escalada de privilegios ",[16,416,417],{},"local",": necesita que el atacante ya esté dentro. El problema es cómo entra: según la CISA, se ",[16,420,421],{},"encadena con CVE-2026-109618 y CVE-2026-109619",", las fallas de PHP de ",[424,425,427],"a",{"href":426},"/blog/noticias/php2shell-explotacion-activa-consola-pan-os-kev-29-octubre","la ola PHP2Shell",", para implantar webshells y ",[16,430,431],{},"ejecutar comandos como root",". La CISA además pide revisión forense de los equipos afectados.",[12,434,435,436,439,440,443,444,447],{},"A diferencia de CVE-2026-98432, Fragnesia ",[16,437,438],{},"ya tiene parche",": Ubuntu la corrigió en 22.04 (5.15.0-181.191), 24.04 (6.8.0-124.124) y 26.04 (7.0.0-22.22); Debian en sus tres versiones con soporte, y Red Hat dice haber liberado correcciones para todos sus productos afectados. Si tu servidor no se ha reiniciado con kernel nuevo desde mayo, cuando se publicó, tienes dos pendientes y no uno. Si no puedes reiniciar, la mitigación de Red Hat es bloquear los módulos ",[319,441,442],{},"esp4"," y ",[319,445,446],{},"esp6"," (rompe IPsec en ese equipo) o desactivar los espacios de nombres de usuario sin privilegios.",[449,450,453],"callout",{"icon":451,"title":452},"i-lucide-refresh-cw","Instalar el kernel no es suficiente",[12,454,455,456,153,459,462,463,466],{},"Un ",[319,457,458],{},"apt upgrade",[319,460,461],{},"dnf update"," descarga el kernel corregido, pero el servidor sigue corriendo el viejo hasta que se reinicia. Revisa con ",[319,464,465],{},"uname -r"," qué versión está activa de verdad. Es el error más común en las auditorías: el parche \"instalado\" desde hace meses y el equipo sin reiniciar desde hace un año.",[60,468,470],{"id":469},"qué-hacer-este-fin-de-semana","Qué hacer este fin de semana",[472,473,474,480,486,492,501,507],"ol",{},[349,475,476,479],{},[16,477,478],{},"Inventario."," Lista tus servidores Linux, sus distribuciones y si están expuestos a internet. Incluye la nube y los equipos que \"nadie toca\".",[349,481,482,485],{},[16,483,484],{},"Debian:"," actualiza el kernel y reinicia ya.",[349,487,488,491],{},[16,489,490],{},"Ubuntu y RHEL:"," aplica la regla de nftables (probada) en los equipos expuestos y suscríbete a los avisos de tu distribución para actualizar en cuanto salga el kernel.",[349,493,494,497,498,500],{},[16,495,496],{},"Fragnesia:"," confirma con ",[319,499,465],{}," que corres un kernel posterior al parche; si no, programa el reinicio hoy.",[349,502,503,506],{},[16,504,505],{},"PHP:"," si tienes sitios en PHP, verifica que ya estén en versiones corregidas de PHP2Shell; ese es el primer eslabón de la cadena.",[349,508,509,512,513,370],{},[16,510,511],{},"Cierra lo que no deba estar abierto"," y repasa la ",[424,514,516],{"href":515},"/blog/tutorial/hardening-servidores-linux","guía de hardening de servidores Linux",[12,518,519,520,524,525,529],{},"No es un caso aislado. En septiembre ya contamos ",[424,521,523],{"href":522},"/blog/noticias/kernel-linux-kev-cisa-septiembre-2026","tres fallas del kernel que entraron al catálogo de explotadas",", y esta misma semana la CISA metió al KEV ",[424,526,528],{"href":527},"/blog/noticias/cisco-asa-ftd-cve-2026-76418-vpn-explotada-kev","la falla de la VPN de Cisco ASA"," y la de GitLab.",[12,531,532],{},"Fuentes: boletín RHSB-2026-016 y ficha CVE-2026-98432 de Red Hat (30-oct-2026); ficha CVE-2026-98432 y CVE-2026-46300 de Ubuntu (actualizadas 29 y 30-oct-2026); BleepingComputer (30-oct-2026); catálogo KEV de la CISA (entrada CVE-2026-46300); boletín RHSB-2026-003 de Red Hat; Debian Security Tracker.",[534,535],"call-to-action",{"description":536,"eyebrow":537,"icon":538,"label":539,"title":540,"to":541},"Revisamos qué servidores Linux tienes expuestos, aplicamos la mitigación de Red Hat donde haga falta, confirmamos el kernel activo y dejamos el reinicio programado para cuando salga el parche.","Servidores Linux","i-lucide-calendar-check","Agendar revisión","Tus servidores mitigados antes del lunes","/contacto",{"title":332,"searchDepth":543,"depth":544,"links":545},2,3,[546,549,550,551,552],{"id":62,"depth":543,"text":63,"children":547},[548],{"id":176,"depth":544,"text":177},{"id":213,"depth":543,"text":214},{"id":305,"depth":543,"text":306},{"id":398,"depth":543,"text":399},{"id":469,"depth":543,"text":470},"noticias",{"title":555,"description":556,"label":557,"to":558,"icon":559},"¿Cuántos servidores Linux tienes expuestos a internet?","Inventariamos tus servidores, aplicamos la mitigación donde haga falta y dejamos programada la actualización de kernel con su reinicio, sin tumbarte la operación.","Ver servicio de servidores","/servicios/servidores","i-lucide-server","2026-10-31","CVE-2026-98432 del kernel de Linux: crítica (9.8), remota y sin credenciales vía TCP. Ubuntu y RHEL aún sin parche. Mitigación de Red Hat y plazo de Fragnesia.",false,"md",[565,568,571,574],{"question":566,"answer":567},"¿Qué es CVE-2026-98432?","Es una falla de tipo uso de memoria liberada (use-after-free) en el código de TCP sobre IPv4 del kernel de Linux. Se dispara por una condición de carrera al procesar solicitudes de conexión TCP retransmitidas o al migrar sockets. Red Hat la califica como crítica, con CVSS 9.8 preliminar: un atacante remoto, sin usuario y sin interacción, podría tumbar el servidor o corromper memoria, y en el peor caso ejecutar código.",{"question":569,"answer":570},"¿Ya hay parche?","Depende de la distribución. Al 30 de octubre, Debian ya tenía kernels corregidos (6.1.190-1 en Debian 12 y 6.12.113-1 en Debian 13), y Oracle Linux, Amazon Linux y SUSE habían liberado correcciones para algunas versiones. Ubuntu marcaba sus versiones como vulnerables con el parche en preparación, y Red Hat decía estar acelerando las correcciones para RHEL 8, 9 y 10.",{"question":572,"answer":573},"¿Qué hago mientras sale el parche?","Red Hat publicó una regla de nftables que descarta los paquetes TCP sobre IPv4 que traen opciones de IP, el ingrediente que usa el ataque. No sustituye al parche, puede afectar algún servicio raro y hay que probarla antes. Además, limita quién puede llegar a tus servidores por internet y vigila los avisos de tu distribución para actualizar y reiniciar en cuanto salga el kernel.",{"question":575,"answer":576},"¿Qué tiene que ver Fragnesia?","Fragnesia (CVE-2026-46300) es otra falla del kernel, local, que la CISA metió a su catálogo de vulnerabilidades explotadas el 28 de octubre con plazo al 31 de octubre. Según la CISA se encadena con las fallas de PHP2Shell para pasar de un webshell a root. Esa sí tiene parche en Ubuntu, Debian y Red Hat: si no reiniciaste con kernel nuevo desde mayo, tienes dos pendientes.",null,"/images/blog/noticias/kernel-linux-cve-2026-98432-tcp-remota-critica-fragnesia.jpg","Servidor Linux en un rack con una terminal abierta que muestra una regla de firewall nftables","informational",[582,583,584,585],"cve-2026-98432","vulnerabilidad kernel linux tcp remota","rhsb-2026-016 mitigacion nftables","fragnesia cve-2026-46300 cisa kev",{},true,"/blog/noticias/kernel-linux-cve-2026-98432-tcp-remota-critica-fragnesia","2026-10-31T15:30:00-06:00",5,{"title":5,"description":561},"Linux CVE-2026-98432: falla TCP remota crítica (9.8)","blog/noticias/kernel-linux-cve-2026-98432-tcp-remota-critica-fragnesia",[595,596,597,598],"ciberseguridad","vulnerabilidades","linux","servidores","oFzwf3IC2SAojZi7gzrLcsGPLbW9kCvwa7BJEMyc31E",{"path":601,"title":602},"/blog/noticias/notion-ai-creditos-por-usuario-2-noviembre-notas-reuniones","Notion AI pasa a créditos por persona el 2 de noviembre, y desde el 1 de diciembre las notas de reuniones también cuentan",[604,610,616],{"path":605,"title":606,"description":607,"date":560,"category":553,"image":608,"imageAlt":609,"readingTime":590},"/blog/noticias/oracle-java-21-licencia-pago-actualizaciones-19-enero","Oracle Java 21 ya no es gratis para uso comercial desde la versión 21.0.13: qué hacer antes del parche del 19 de enero","Desde el 20 de octubre de 2026, las actualizaciones de Oracle JDK 21 (21.0.13 en adelante) requieren suscripción para uso comercial. Opciones y costos.","/images/blog/noticias/oracle-java-21-licencia-pago-actualizaciones-19-enero.jpg","Administrador de sistemas revisando en una terminal la versión de Java instalada en un servidor junto a un calendario de parches trimestrales",{"path":611,"title":612,"description":613,"date":560,"category":553,"image":614,"imageAlt":615,"readingTime":590},"/blog/noticias/llmjacking-claves-api-ia-northflank-extension-claude-code-cursor","Roban llaves de IA a empresas: la brecha de Northflank y una extensión falsa de Claude Code en Cursor cierran un octubre negro","Northflank confirmó abuso de llaves de API de IA de clientes y Cursor retiró una extensión troyanizada de Claude Code. Qué pasó y cómo proteger tus llaves.","/images/blog/noticias/llmjacking-claves-api-ia-northflank-extension-claude-code-cursor.jpg","Pantalla de un editor de código con un panel de variables de entorno y una llave de API resaltada en rojo",{"path":617,"title":618,"description":619,"date":560,"category":553,"image":620,"imageAlt":621,"readingTime":590},"/blog/noticias/bedrock-vertex-ai-retiro-modelos-claude-gemini-enero-2027","Si usas Claude o Gemini por AWS o Google Cloud, sus fechas de apagado son otras: Opus 4.1 se va el 8 de enero y Gemini 3.7 Flash el 28","Amazon Bedrock apaga Claude Opus 4.1 el 8 de enero y encarece Sonnet 4.5; Vertex AI retira Gemini 3.7 Flash el 28 de enero y embeddings en abril. Qué revisar.","/images/blog/noticias/bedrock-vertex-ai-retiro-modelos-claude-gemini-enero-2027.jpg","Consola de nube con una lista de modelos de inteligencia artificial marcados como obsoletos junto a un calendario de enero",{"id":623,"avatar":577,"bio":624,"entityType":625,"expertise":626,"extension":627,"meta":628,"name":6,"role":629,"slug":630,"social":577,"stem":631,"url":7,"__hash__":632},"authors/authors/diego-herrera.yml","Ingeniero en ciberseguridad e infraestructura IT. Protege la operación de empresas mexicanas contra amenazas y caídas de servicio.","Person","Diego lidera los proyectos de ciberseguridad e infraestructura de Syswork México. Ha ejecutado auditorías de seguridad, hardening de servidores, despliegues de redes y planes de continuidad para empresas en sectores críticos. Escribe sobre seguridad, servidores, cloud y redes con un enfoque defensivo y orientado a riesgos reales del negocio.","yml",{},"Especialista en Ciberseguridad e Infraestructura","diego-herrera","authors/diego-herrera","vrWQ35_ItOQjxvsvvG7wu5-wWk5ytSOlz-Ij9viIvzM"]