AlmaLinux ha incorporado a su repositorio testing kernels parcheados que corrigen la vulnerabilidad CVE-2026-98432, un fallo use-after-free en el código que prepara conexiones entrantes IPv4 TCP. El equipo del kernel puntúa el problema como crítico (CVSS 9.8): puede explotarse a través de la red sin necesidad de privilegios ni interacción del usuario, y afecta a las ramas soportadas de AlmaLinux 8, 9 y 10.
En qué consiste la vulnerabilidad CVE-2026-98432
El fallo ocurre cuando llega una solicitud de conexión TCP (paquete SYN) que incluye opciones IPv4. El kernel guarda una copia de esas opciones con la conexión pendiente para devolverlas en el SYN-ACK. Al completarse el apretón de manos, esa copia se asigna al socket de la nueva conexión sin duplicarla.
Si el cliente retransmite el SYN, otra CPU puede estar construyendo un SYN-ACK con esas mismas opciones al mismo tiempo. Si la nueva conexión se cierra y su socket se libera antes de que termine la lectura, el kernel también puede liberar esas opciones, dejando memoria ya liberada que luego podría ser leída por el código que está formando la respuesta: esa es la condición use-after-free.
Un caso similar se da cuando está activada la migración de sockets de petición TCP (net.ipv4.tcp_migrate_req o una BPF que migre peticiones). Esa opción está desactivada por defecto en AlmaLinux. IPv6 no se ve afectado por la falla principal.
Impacto práctico y alcance
- Qué cambia: se corrige un fallo en el kernel que puede permitir lectura de memoria liberada durante el procesamiento de SYN con opciones IPv4; Anthropic ha comunicado una demostración de exploit que, en servidores con un listener MPTCP activo, deriva en ejecución remota de comandos como root.
- A quién afecta: cualquier sistema AlmaLinux que acepte conexiones IPv4 desde redes no confiables está expuesto. Aunque AlmaLinux distribuye MPTCP desactivado por defecto (lo que mitiga la explotación demostrada con MPTCP), la vulnerabilidad existe en el código TCP estándar, por lo que sistemas sin MPTCP también deben aplicar el parche.
- Qué debe hacer el administrador: instalar los kernels parcheados disponibles en el repositorio testing, comprobar la versión del kernel con uname -r o rpm -q kernel, y reiniciar para cargar el nuevo kernel. Tras el reinicio, deshabilitar el repositorio testing en sistemas de producción si no es necesario mantenerlo habilitado.
Medidas temporales y comprobaciones recomendadas
Como mitigación temporal, AlmaLinux propone bloquear paquetes TCP entrantes que lleven opciones IPv4 —un tipo de tráfico que rara vez se usa en conexiones normales— mediante nftables. La regla funciona con firewalld y es segura de ejecutar repetidas veces; sin embargo, no sobrevive a un reinicio, por lo que hay que volver a aplicarla si el sistema se reinicia antes de instalar el kernel parcheado.
También conviene comprobar el estado de MPTCP con sysctl (net.mptcp.enabled). Si ese valor es 1 y no necesita MPTCP, se recomienda desactivarlo y persistir el cambio. Desactivar MPTCP solo impide la creación de nuevos listeners MPTCP: hay que listar los listeners MPTCP abiertos (por ejemplo con ss -lnMp) y reiniciar los servicios que los mantengan si se quiere eliminarlos.
Sobre la corrección y el proceso de publicación
El arreglo, desarrollado por Eric Dumazet y backporteado a las ramas estables del kernel (usadas por AlmaLinux), espera hasta que ninguna CPU pueda seguir leyendo las opciones antes de liberarlas, igual que otros manejos similares en el kernel. AlmaLinux indica que no esperaba a una actualización de RHEL/CentOS Stream y que su comité técnico aprobó publicar los builds parcheados en testing para acelerar la disponibilidad.
La distribución solicita ayuda de la comunidad para verificar los kernels en testing; una vez comprobados, los paquetes pasarán a los repositorios de producción y la entrada del blog se actualizará para notificar el cambio.
Recomendaciones finales para administradores
- Compruebe si su servidor acepta IPv4 TCP desde redes no confiables y planifique una ventana de reinicio para instalar el kernel parcheado.
- Instale el kernel desde el repositorio testing, verifique la versión con uname -r o rpm -q kernel y reinicie.
- Si no es posible actualizar inmediatamente, aplique la regla nftables sugerida para descartar paquetes TCP con opciones IPv4 y confirme que net.mptcp.enabled = 0 si no usa MPTCP.
- Desactive el repositorio testing después de verificar y reiniciar en sistemas de producción.
Si detecta problemas con los kernels de testing, comuníquese a los canales de soporte de AlmaLinux indicados por el proyecto.
Lee también:
- CVE-2026-98432: fallo use-after-free en TCP IPv4 del kernel afecta a CloudLinux (excepto 7)
- Informe de ESET resume actividad de grupos APT en el segundo y tercer trimestre de 2026
Fuente: Blog on AlmaLinux
