CVE-2026-98432 afecta al kernel Linux IPv4 TCP

Varios proveedores y distribuciones publicaron correcciones para CVE-2026-98432, una vulnerabilidad use-after-free en el kernel Linux que afecta el manejo de conexiones TCP IPv4 entrantes. Los avisos coinciden en que el problema puede provocar fallos del kernel, divulgación de memoria o corrupción de memoria, y algunos describen riesgo de ejecución remota de código bajo ciertas condiciones.

¿Qué describieron los proveedores?

AlmaLinux, Red Hat, CloudLinux, AWS, Ubuntu, STACKIT, Akamai, Konfirmity, F5 y el Centro de Computación de la Universidad de Heidelberg publicaron avisos sobre la misma falla. En ese conjunto de reportes, la vulnerabilidad aparece vinculada al stack TCP IPv4 del kernel Linux y a un problema de liberación de memoria asociado al procesamiento de conexiones entrantes.

Red Hat la clasificó como crítica y señaló que un atacante remoto no autenticado podría explotar una condición de carrera durante el procesamiento de solicitudes TCP para provocar ejecución remota de código. AWS, por su parte, indicó que bajo condiciones específicas un tercero remoto no autenticado puede enviar paquetes TCP IPv4 especialmente construidos con opciones IP a un puerto expuesto, con el resultado posible de un fallo del kernel, divulgación de memoria o corrupción de memoria.

CloudLinux describió el fallo como un use-after-free en el código del handshake TCP IPv4, relacionado con la liberación de memoria sin esperar un período de gracia RCU. F5 detalló el arreglo upstream y explicó que la memoria inet_opt e ireq_opt debe liberarse después de ese período de gracia, porque tcp_v4_syn_recv_sock() transfiere la propiedad de ireq->ireq_opt al socket hijo sin copiarla.

¿Qué alcance técnico se informó?

STACKIT informó que CVE-2026-98432 afecta IPv4, no IPv6, y publicó versiones corregidas del kernel para varias ramas. Su aviso enumera 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 y 7.3.10.

AlmaLinux también anunció kernels corregidos para sus versiones 8, 9 y 10. Ubuntu informó que las correcciones estaban disponibles inicialmente en el repositorio proposed y recomendó aplicar las actualizaciones de seguridad correspondientes. Konfirmity agregó que un atacante que pueda alcanzar cualquier puerto TCP en escucha puede activar el fallo antes de que la aplicación reciba la conexión, y señaló como entornos relevantes los hosts de contenedores y nodos Kubernetes.

Akamai describió el fallo como un use-after-free remoto en el stack TCP del kernel Linux y afirmó que un exploit divulgado permitiría a un atacante remoto no autenticado ejecutar comandos como root en servidores Linux con un listener MPTCP. Ese alcance específico debe tomarse con cautela, porque el material disponible no aporta corroboración independiente.

¿Qué dijo la Universidad de Heidelberg?

El Centro de Computación de la Universidad de Heidelberg indicó que, bajo ciertas condiciones, CVE-2026-98432 puede permitir bloquear remotamente el kernel Linux o, bajo ciertas condiciones, habilitar ejecución remota de código. Esa formulación quedó expresada como una posibilidad condicionada, no como una confirmación de explotación observada.