Investigadores de Anthropic han demostrado que CVE-2026-98432, el fallo crítico en el código TCP sobre IPv4 del kernel de Linux, permite ejecutar código como root de forma remota y sin autenticación en servidores con un listener de Multipath TCP (MPTCP). El exploit, desarrollado por un modelo de Claude todavía no publicado, tardó unos 53 minutos en lograr ejecución remota como root, según el informe de la compañía recogido por BleepingComputer el 30/10/2026.
Las claves del exploit remoto de CVE-2026-98432 en MPTCP en 20 segundos
- El fallo permite ejecución remota como root en servidores con un listener MPTCP.
- Afecta a kernels desde la versión 4.4, incluidos Ubuntu, RHEL y Rocky Linux.
- Desactivar MPTCP no basta: el fallo también se activa con TCP normal.
- Debian ya tiene parches; Ubuntu y RHEL siguen trabajando en ellos.
Administración de Sistemas ya explicó cómo comprobar y actualizar los servidores afectados por CVE-2026-98432. La novedad es que ahora hay una demostración de que el fallo sirve para algo más que tumbar un servidor. Según BleepingComputer, el exploit de Anthropic se salta la aleatorización del espacio de direcciones del kernel (KASLR) y ejecuta comandos arbitrarios como root en un servidor Linux con un listener MPTCP. No hay de momento informes confirmados de explotación real.
Qué es el fallo y por qué hay dos puntuaciones
CVE-2026-98432 es un uso de memoria liberada (use-after-free) provocado por una condición de carrera en cómo el kernel gestiona las peticiones de conexión TCP. Según el aviso del kernel, la función tcp_v4_syn_recv_sock() transfiere la propiedad de las opciones IP de la petición al socket hijo sin copiarlas, mientras otra CPU puede estar procesando un SYN retransmitido para la misma petición y enviando un SYNACK. El resultado es que esa memoria puede liberarse dos veces. Un problema similar puede darse en la migración de sockets de petición cuando está activado net.ipv4.tcp_migrate_req o se usa un programa BPF_SK_REUSEPORT_SELECT_OR_MIGRATE.
El equipo de CVE del kernel le asigna una puntuación de 9,8 sobre 10. Red Hat, en cambio, lo trata como un posible problema de denegación de servicio que puede hacer caer el kernel y le da un 5,9, porque explotar la condición de carrera es más complejo que enviar un paquete malicioso. La demostración de Anthropic muestra que, en condiciones concretas, el riesgo es mayor que una caída.
Cuidado con Go y MPTCP
MPTCP permite que una misma conexión use varias rutas de red a la vez, y no suele estar activado por defecto en las aplicaciones. Hay una excepción importante: desde Go 1.24, el lenguaje activa MPTCP por defecto en los listeners TCP de Linux siempre que el kernel lo soporte. Eso significa que algunos servicios de red escritos en Go pueden estar escuchando con MPTCP sin que el administrador lo sepa. Conviene revisar qué binarios en Go exponen puertos en los servidores, porque son los candidatos al escenario de ejecución remota demostrado.
Aun así, CIQ, la empresa que da soporte a Rocky Linux, advierte de que desactivar MPTCP no es suficiente, ya que la vulnerabilidad de fondo puede activarse también con tráfico TCP normal, aunque en ese caso no se ha demostrado públicamente la ejecución remota de código.
Estado de los parches y medidas temporales
El fallo está corregido en el kernel oficial y en las ramas mantenidas, pero no todas las distribuciones han publicado ya sus paquetes. Según BleepingComputer, a 30 de octubre:
- Ubuntu 22.04 LTS, 24.04 LTS, 26.04 LTS y 26.10 siguen vulnerables, con parches en preparación.
- Red Hat Enterprise Linux 8, 9 y 10 están afectados, con correcciones previstas; RHEL 7 no lo está porque su kernel no contiene el código vulnerable.
- Rocky Linux 8, 9 y 10 están afectados, según CIQ.
- Debian ya lo ha corregido en el paquete 6.1.190-1 para Debian 12 y 6.12.113-1 para Debian 13, además de testing e inestable.
- Oracle Linux, Amazon Linux y SUSE han publicado correcciones para algunas versiones.
Mientras llegan los parches, la recomendación es restringir el acceso a redes o direcciones IP de confianza. CIQ propone además bloquear de forma temporal los paquetes TCP sobre IPv4 que lleven opciones IP antes de que lleguen al código vulnerable, y ha publicado ejemplos de reglas de nftables para hacerlo. Cuando el kernel actualizado esté disponible, hay que instalarlo y reiniciar para que se cargue.
Preguntas frecuentes
¿Qué es CVE-2026-98432?
Un fallo de uso de memoria liberada en el código TCP sobre IPv4 del kernel de Linux, con una puntuación de 9,8 según el equipo del kernel, que afecta a versiones desde la 4.4.
¿Permite ejecutar código de forma remota?
Sí, en servidores con un listener MPTCP: Anthropic lo demostró con un exploit que logró ejecución remota como root en unos 53 minutos. No hay informes de explotación real.
¿Basta con desactivar MPTCP?
No. Según CIQ, el fallo también puede activarse con tráfico TCP normal, así que hay que actualizar el kernel.
¿Qué distribuciones tienen ya el parche?
Debian 12 y 13 ya lo tienen, igual que algunas versiones de Oracle Linux, Amazon Linux y SUSE. Ubuntu, RHEL y Rocky Linux están preparando sus actualizaciones.
Fuentes:
