La Agencia de Seguridad de Infraestructura y Ciberseguridad de Estados Unidos (CISA) ha comunicado que tres vulnerabilidades del kernel de Linux están siendo explotadas activamente en entornos reales. El pasado 18 de septiembre, estos fallos fueron incorporados al catálogo KEV (Known Exploited Vulnerabilities), lo que activa un plazo de 72 horas para que las agencias federales apliquen las correcciones correspondientes, según la directiva BOD 26-04. Pero esto no es solo un problema para el sector público: cualquier empresa que ejecute Linux en producción, desde servidores hasta render farms, debe tomar nota con urgencia.
Mientras tanto, la inteligencia artificial está cambiando por completo el panorama de la seguridad en el código abierto. Por un lado, herramientas como GLM-5.3 han permitido descubrir más de mil nuevas vulnerabilidades en proyectos críticos, incluido el kernel de Linux. Por otro, esta avalancha de hallazgos está desbordando a los mantenedores, que apenas tienen tiempo para revisar informes y parches, muchos de ellos triviales o duplicados. La situación ha llevado al propio Linus Torvalds a expresar su malestar y a tomar medidas más estrictas de cara a futuras integraciones.
Las tres vulnerabilidades que preocupan a CISA
Los CVEs señalados son CVE-2025-39682, CVE-2025-39964 y CVE-2026-53266. El primero, con una puntuación CVSS que va de 7.1 según NVD hasta 9.8 según SecurityWeek, reside en la implementación software de TLS (net/tls/tls_sw.c). Se activa cuando un atacante procesa un registro TLS de longitud cero en modo zero-copy, lo que corrompe el contador de referencias del buffer y desemboca en un use-after-free. Esto puede provocar desde una caída del kernel hasta la fuga de información sensible. Afecta a las versiones 6.0 hasta la 6.16.3 y a los candidatos a release 6.17-rc1/rc2.
El segundo, CVE-2025-39964, se localiza en la interfaz AF_ALG de la API de criptografía en espacio de usuario. Es una condición de carrera que permite a dos writers concurrentes intercalar datos en el mismo socket, dejando el estado interno inconsistente. Aunque su puntuación CVSS varía entre 3.3 (NVD), 5.5 (Red Hat) y 7.8 (CNA), el hecho de que aparezca en el catálogo KEV confirma que la explotación es real y peligrosa. Por último, CVE-2026-53266 afecta al target ebt_snat del bridge netfilter, permitiendo una escritura fuera de límites sobre la memoria del kernel cuando se procesa un paquete ARP en un socket buffer no lineal. Con una CVSS de 8.8, es un vector claro para escalada de privilegios local.
La IA satura a los mantenedores del kernel
El aumento de vulnerabilidades reportadas no es una casualidad. Según datos presentados por Greg Kroah-Hartman en la conferencia Kernel Recipes 2026, el número de CVE corregidos por versión del kernel ha pasado de unas 500 en las versiones 6.9 a 6.19 a más de 1.000 a partir de Linux 7.0, y a más de 1.500 en Linux 7.2. Las previsiones apuntan a que Linux 7.3 podría superar los 2.000. Gran parte de este incremento se atribuye al uso de inteligencia artificial para auditar el código. Sin embargo, la mayoría de los hallazgos son de baja prioridad o corresponden a controladores antiguos, y muchos son duplicados.
La carga de trabajo para los mantenedores se ha vuelto insostenible. Linus Torvalds ya advirtió que la lista de seguridad del kernel se había vuelto «casi completamente inmanejable». Jakub Kicinski, responsable del subsistema de red, llegó a afirmar: «Estamos completamente desbordados». Además, Torvalds se ha quejado de que muchas correcciones llegan en fases avanzadas del desarrollo, como la RC5 de Linux 7.1, cuando deberían haberse propuesto antes. Ha prometido ser más inflexible y rechazará pull requests que no aporten valor real. Esta situación no solo afecta a la estabilidad, sino que también puede comprometer la seguridad, ya que los parches correctos pueden perderse entre el ruido.
Recomendaciones y medidas de mitigación para administradores
Ante esta oleada de vulnerabilidades, los responsables de sistemas deben actuar con rapidez y no confiar únicamente en los parches oficiales. Para los tres CVEs de CISA, la prioridad es actualizar el kernel a una versión corregida de la distribución utilizada. En el caso de la vulnerabilidad af_unix (CVE-2026-80521), recientemente identificada, también conviene aplicar el parche correspondiente, ya que afecta a las ramas 6.1, 6.6 y posteriores desde 6.10. Pero no siempre es posible reiniciar los nodos de inmediato; por eso se recomienda implementar controles compensatorios.
Para CVE-2026-53266, se puede desactivar el módulo ebtables mediante un script que descargue el módulo residente y luego bloquee su carga futura en /etc/modprobe.d/. Para los otros dos, el uso de eBPF con Falco puede detectar intentos de explotación a tiempo, y las políticas de seccomp pueden bloquear las syscalls involucradas. Además, habilitar user namespaces con containerd v2.2+ y Kubernetes CRI v1.30, usando hostUsers: false, reduce el impacto de una escalada de privilegios. Estas medidas, junto con la supervisión constante de los nodos, permiten ganar tiempo hasta que se pueda reiniciar con el kernel parcheado.
Por último, es importante recordar que la IA también está ayudando a limpiar el código obsoleto y a eliminar subsistemas antiguos, lo que puede reducir la superficie de ataque a largo plazo. Aunque la situación actual es caótica, el ecosistema kernel se está adaptando. Los administradores deben mantenerse informados, suscribirse a las listas de seguridad y priorizar las vulnerabilidades que aparecen en catálogos oficiales como KEV. La agilidad en la aplicación de parches y el uso de defensas en profundidad son, hoy más que nunca, esenciales para proteger los entornos productivos basados en Linux.
