La Agencia de Ciberseguridad y Seguridad de Infraestructuras de Estados Unidos (CISA) ha emitido una alerta sobre la explotación activa de tres vulnerabilidades en el kernel de Linux, una de las cuales está clasificada como crítica. Los tres problemas de seguridad fueron agregados por separado la semana pasada y sus niveles de gravedad varían entre medio y crítico. Uno de ellos, identificado como CVE-2025-39964, permaneció presente en el kernel de Linux durante 14 años.
CISA marcó las tres fallas con la máxima prioridad para las agencias federales, ordenándoles aplicar las actualizaciones de seguridad y mitigaciones disponibles antes del final del día de hoy.
Las tres vulnerabilidades
- CVE-2025-39964: una condición de carrera en la interfaz de sockets criptográficos AF_ALG del kernel que permite escrituras concurrentes para corromper el estado por socket y potencialmente provocar fallos en los sistemas o alterar resultados criptográficos.
- CVE-2026-53266: una vulnerabilidad de escritura fuera de límites en la implementación de ebtables SNAT del kernel de Linux que puede causar que una reescritura de dirección ARP modifique memoria compartida respaldada por archivos sin antes hacer escribible el rango de paquetes afectado.
- CVE-2025-39682: un fallo lógico en la ruta de recepción de TLS del kernel de Linux que maneja incorrectamente registros de longitud cero en cola para su procesamiento posterior, lo que podría permitir que diferentes tipos de registros TLS se procesen juntos cuando se utiliza kTLS.
CISA afirma [1, 2] que las vulnerabilidades han sido explotadas en ataques, pero no ha revelado detalles sobre los incidentes ni sobre la naturaleza de los actores de amenaza.
La empresa de seguridad ofensiva STAR Labs descubrió CVE-2025-39964 y señaló que sus investigadores encontraron el problema sin ayuda de un sistema de IA. Demostraron la vulnerabilidad logrando escalada de privilegios y escape de contenedor en el kernelCTF de Google.
Para CVE-2025-39682, existen exploits públicos, como también confirmó Red Hat en su boletín de seguridad. Red Hat también confirmó un exploit conocido disponible para CVE-2026-53266.
El investigador Kimmo Suominen ha publicado un análisis técnico y un rastreador del estado de parches para CVE-2026-53266 en GitHub, en el que describe una posible ruta de escalada de privilegios que implica modificaciones a memoria respaldada por archivos. Sin embargo, el investigador señala que la cadena de explotación propuesta se infiere por analogía con Dirty Pipe y no ha sido demostrada con código de exploit público.
CISA ha marcado las tres fallas como requirentes de "triaje forense". Esto significa que, para cada activo afectado, las agencias federales deben examinarlo en busca de indicios de que la explotación ya ocurrió. Actualmente, ninguna de las tres fallas está señalada como explotada por grupos de ransomware.
Construya su plan de seguridad para ataques impulsados por IA
Únase a Mikko Hyppönen y a líderes de seguridad de la NFL, CHANEL y Atlassian en una cumbre digital de dos horas sobre qué cambian los ataques a velocidad de IA, qué deberían dejar de hacer los defensores y cómo validar, decidir, corregir y revalidar a velocidad de máquina.
Artículos relacionados:
- CISA ordena el parcheo urgente de una falla de Zimbra explotada activamente
- Una falla crítica en Progress LoadMaster ahora se explota activamente en ataques
- Cisco advierte sobre una falla de credenciales estáticas en FMC explotada en ataques de día cero
- Check Point advierte sobre un día cero en SmartConsole explotado en ataques
- CISA ordena acción urgente sobre una falla RCE en Langflow explotada activamente
Deja una respuesta