La semana en que el camino hacia root local se abrió de una vez — las LPE del kernel de Linux entran en el catálogo KEV de CISA mientras se publican exploits públicos
El 18 de septiembre, CISA añadió tres fallos del kernel de Linux explotados de forma activa (CVE-2025-39682, CVE-2026-53266, CVE-2025-39964) al catálogo KEV, y Red Hat confirmó que existe código de exploit público. El mismo día se publicaron, bajo divulgación coordinada, exploits funcionales de cuatro LPE del kernel (DirtyAH6, TUNderflow, PPPoEject, DiagSpill). Examinamos por qué la escalada de privilegios en hosts compartidos sigue a los appliances de perímetro hacia el primer plano.
Este artículo fue traducido por máquina.
El 18 de septiembre de 2026, CISA añadió tres vulnerabilidades del kernel de Linux a su catálogo Known Exploited Vulnerabilities (KEV) sobre la base de evidencia de explotación activa: CVE-2025-39682 (CVSS 9.8, una comprobación incorrecta de condición en la ruta de recepción TLS del kernel que permite la divulgación de memoria o la denegación de servicio), CVE-2026-53266 (CVSS 8.8, una escritura fuera de límites en la ruta de reescritura ARP del SNAT de ebtables del puente netfilter que permite la escalada local de privilegios) y CVE-2025-39964 (CVSS 7.8, una condición de carrera que permite escrituras concurrentes en el mismo socket AF_ALG). A las agencias civiles federales se les dio hasta el 21 de septiembre para aplicar las correcciones. De ninguna de las tres ha publicado CISA detalles de campaña ni atribución del actor de la amenaza, y sigue sin estar claro si forman una sola cadena de ataque. Lo que se sabe: Red Hat actualizó los avisos de las tres con fecha de 19 de septiembre para declarar que el CVE es de alto riesgo y que existen exploits públicos conocidos, e instó a una remediación de alta prioridad (según The Hacker News, CISA y Red Hat).
El mismo día, una corriente distinta amplió la superficie de ataque del kernel. El investigador de seguridad Asim Manizada había comunicado cuatro fallos de escalada local de privilegios (LPE) al equipo de seguridad del kernel de Linux a mediados de julio: DirtyAH6 (CVE-2026-80844, IPsec AH6), TUNderflow (CVE-2026-81000, dispositivos de red virtual TUN/TAP), PPPoEject (CVE-2026-68121, PPPoE) y DiagSpill (CVE-2026-74469, sctp_diag de SCTP). El 18 de septiembre, tras una retención coordinada para que las distribuciones pudieran publicar las correcciones, publicó textos técnicos con exploits funcionales. Los cuatro están corregidos en los kernels actuales y no hay informes de uso en el mundo real. Pero tres de los cuatro — DirtyAH6, TUNderflow, PPPoEject — presuponen que están habilitados los espacios de nombres de usuario no privilegiados, una función que muchas distribuciones habilitan de forma predeterminada; el cuarto, DiagSpill, no exige privilegio especial alguno siempre que el módulo SCTP esté disponible (según la cobertura de The Hacker News).
Análisis (separado de los hechos): la llegada el mismo día de ambas historias marca un desplazamiento del énfasis desde la «entrada» hacia «lo que viene después». La semana pasada este observatorio cubrió el compromiso a root de appliances de perímetro expuestos a internet: Cisco ISE y Secure Email Gateway. Los appliances de perímetro son alcanzables por diseño, de modo que la pregunta «¿está expuesto?» se responde sola; los fallos del kernel de esta semana son todos locales en primer término (el disparo remoto es estrecho y se centra en provocar caídas). Lo que importa desde la perspectiva de un atacante es el menú creciente de caminos desde un punto de apoyo inicial en un host compartido hasta root. Los hosts de contenedores, los ejecutores de CI, los servidores multiinquilino y los entornos de cargas de trabajo de IA son activos cuya premisa de funcionamiento es «aquí varias partes tienen shells de privilegio bajo»: cada exploit público que se publica reduce el coste del movimiento lateral. Según se informa, los exploits publicados requieren ajuste a compilaciones concretas del kernel y pueden hacer caer la máquina; eso es una afirmación sobre el coste de desarrollo, no sobre la explotabilidad.
Implicaciones para la defensa: (1) Las tres entradas de KEV están sujetas a los requisitos de triaje forense del BOD 26-04 de CISA, no solo al parcheo: revisar los registros en busca de un compromiso anterior al parche es la línea de base. (2) Los espacios de nombres de usuario son esenciales para muchas cargas de trabajo, pero en los servidores que no los necesitan vale la pena evaluar su desactivación: el hecho de que tres de las cuatro LPE nuevas presupongan este único ajuste predeterminado muestra cuánta superficie de ataque del kernel depende de una sola elección de configuración. (3) En los hosts compartidos, inventaríe la estructura misma — aislamiento de inquilinos, ejecutores de CI efímeros, aislamiento de cargas de trabajo de IA — junto con el parcheo de cada CVE, porque «si una persona obtiene root, todos pierden» es una propiedad del diseño, no un nivel de parche. (4) Como el compromiso del espacio del kernel es invisible para los agentes del espacio de usuario, complementarlo con detección en tiempo de ejecución basada en eBPF y con supervisión de la integridad del kernel es una opción realista. Los hechos aquí se apoyan en la alerta KEV de CISA (https://www.cisa.gov/news-events/alerts/2026/09/18/cisa-adds-two-known-exploited-vulnerabilities-catalog), la cobertura de The Hacker News sobre las incorporaciones a KEV (https://thehackernews.com/2026/09/cisa-flags-three-linux-kernel.html) y sobre las cuatro divulgaciones de LPE (https://thehackernews.com/2026/09/public-exploits-released-for-four-linux.html), y el aviso de Red Hat (https://access.redhat.com/security/cve/cve-2025-39682). El análisis se mantiene separado de la información.