Resumen:
Un estudio de seguridad publicado recientemente por Anthropic reveló que su modelo interno Claude inédito descubrió una vulnerabilidad grave que ha estado inactiva en el kernel de Linux durante 11 años durante pruebas sistemáticas. La vulnerabilidad lleva el número CVE-2026-98432 y tiene una puntuación de gravedad CVSS de 9,8, lo que la convierte en la vulnerabilidad más peligrosa a nivel de ejecución remota de código.
La vulnerabilidad es causada por una falla de uso después de la liberación (UAF) en el protocolo de enlace TCP IPv4. El código se envió en octubre de 2015 y se introdujo con el kernel Linux 4.4. Al procesar retransmisiones de conexiones TCP, una CPU puede leer la memoria que ha sido liberada por otra CPU.
El atacante no necesita una contraseña ni ninguna interacción del usuario, y solo puede activarse a través del tráfico de red, logrando así la ejecución remota del permiso de raíz. El equipo de kernel CVE la caracterizó como una vulnerabilidad grave a la que se puede acceder desde la red, no requiere privilegios y no requiere interacción.
Lo que es aún más alarmante es el papel de la IA en este ámbito. El modelo Claude de Anthropic no solo descubrió la vulnerabilidad, sino que también generó un exploit utilizable de dos etapas. La primera etapa tarda unos 48 minutos en descifrar la protección de aleatorización de direcciones del kernel; la segunda etapa solo toma 5 minutos para ejecutar comandos arbitrarios con privilegios de Root. Todo el proceso de ataque dura unos 53 minutos y, si no se explota, el objetivo no colapsará y el atacante puede intentarlo una y otra vez.
La reparación inicial se completó el 15 de octubre y las versiones reparadas cubren 5.10.272, 6.1.190, 6.12.113, 6.18.56, 7.2.10 y 7.3-rc7. Debian, Red Hat, Amazon Linux y otras distribuciones han lanzado parches sucesivamente.
Pero la situación con Ubuntu es completamente diferente: a partir del 1 de noviembre, Ubuntu 22.04 LTS, 24.04 LTS, 26.04 LTS y 26.10 todavía están marcados como afectados y las correcciones aún están en desarrollo.
Para los administradores de Ubuntu que ejecutan servicios externos, la ventana de riesgo aún está abierta. Go 1.24 y versiones superiores habilitan Multipath TCP de forma predeterminada en Linux, lo que puede ampliar la exposición de la vulnerabilidad. Sin embargo, deshabilitar MPTCP sólo puede reducir el riesgo, pero no puede eliminar las fallas a nivel del kernel.
Anthropic afirmó que el código de explotación no se ha hecho público, pero este incidente ha demostrado claramente una tendencia: la IA ya no es sólo una herramienta para escribir código, sino que también puede convertirse en un arma para desmantelar las defensas del sistema.
Comentarios