AlmaLinux ha publicado kernels parcheados en su repositorio de testing para mitigar una vulnerabilidad crítica del núcleo de Linux conocida como PwnEscape (CVE-2026-99999). El fallo permite a quien controle una máquina virtual invitada (guest) enviar paquetes de red especialmente manipulados que pueden filtrar memoria del kernel del host, provocar caídas del sistema o, en pruebas de laboratorio realizadas por el investigador, ejecutar código con privilegios de root en el host.
Qué es PwnEscape y cómo funciona
PwnEscape no es un fallo de KVM sino un problema en la pila de red IPv4 del kernel del host. Cuando un guest envía paquetes a través de un dispositivo virtio, puede adjuntar metadatos de «checksum offload» que indican dónde debe calcularse o escribirse la suma de verificación en el paquete. El kernel del host asumía que esos metadatos eran válidos sin verificarlos frente al encabezado IPv4 real.
Con metadatos maliciosos, el código de checksum del host puede sobrescribir partes del encabezado IPv4 que el kernel ya ha leído. En el ejemplo del investigador, el campo de longitud del encabezado pasó de 5 a 15, lo que llevó a que el código de fragmentación de IP interpretara erróneamente el tamaño del encabezado y procesara el paquete de forma insegura.
Alcance y riesgo: quién debe preocuparse
El código vulnerable proviene de cambios introducidos en 2008 y 2010 para soporte de cabeceras virtio en tun/tap y checksum offload en packet sockets, por lo que está presente en el kernel desde hace aproximadamente 18 años y aparece en todos los kernels que AlmaLinux ha distribuido en sus ramas 8, 9 y 10.
Los sistemas en mayor riesgo son los hosts de virtualización que alojan VMs de usuarios no totalmente confiables: nubes públicas o privadas, proveedores de VPS/VM, sandbox de código y plataformas multiusuario. Además, Red Hat indica que un atacante local también podría explotar la falla, por lo que la recomendación es actualizar todos los sistemas, aunque no ejecuten VMs.
La solución y estado de los parches
El investigador Paulos Yibelo de PWNAI Research informó el problema de forma privada y el parche upstream, redactado por Michael S. Tsirkin (Red Hat), añade comprobaciones que validan que la ubicación de la checksum es segura antes de completar la operación. El arreglo se integró en el kernel principal el 14 de octubre de 2026.
AlmaLinux ha backporteado el arreglo a sus ramas afectadas y ofrece kernels parcheados en el repositorio de testing para que la comunidad los verifique. El equipo plantea moverlos a producción una vez recibida la validación comunitaria.
Qué deben hacer los administradores
- Si usas AlmaLinux como host de máquinas virtuales con huéspedes no confiables (VPS, sandbox, nubes), considera esta actualización prioritaria: instala los kernels disponibles en el repositorio de testing y verifica su correcto funcionamiento.
- En cualquier host de virtualización, migra o apaga los invitados antes de reiniciar: un reinicio interrumpe todas las VMs activas.
- Comprueba la versión del kernel con uname -r o rpm -q kernel para confirmar que se ha instalado el paquete parcheado.
- Si activas temporalmente el repositorio de testing, desactívalo tras el reinicio en sistemas de producción para evitar recibir paquetes no deseados de esa rama.
- No existe un workaround publicado oficialmente: la única corrección disponible es el kernel parcheado.
Impacto y seguimiento
Red Hat y el equipo de CVE del kernel calificaron la falla como Critical. Dado que el vector permite que un guest ataca al host, la vulnerabilidad podría comprometer todos los invitados de una máquina afectada. AlmaLinux pide a la comunidad que ayude a validar los paquetes en testing; tras la verificación los kernels se promoverán a los repositorios de producción y esta noticia será actualizada.
Si detectas problemas al probar los kernels, informa en el chat de AlmaLinux o en bugs.almalinux.org. Mantente atento a las listas de seguridad y anuncios oficiales para saber cuándo los paquetes pasan a producción.
Lee también:
- Se publican 17 nuevas vulnerabilidades en bibliotecas cliente de X.Org que afectan a entornos gráficos
- Resumen semanal de seguridad: robo de wallets por DNS, nuevas RATs y exploits en VPNs corporativas
Fuente: Blog on AlmaLinux
