El kernel de Linux ha acumulado en las últimas semanas una tanda de vulnerabilidades de escalada de privilegios local que conviene entender, porque todas terminan en lo mismo: un usuario sin permisos consigue ser root.
Cuáles son
- CopyFail (CVE-2026-31431), en el subsistema criptográfico. Una escritura de cuatro bytes en la caché de páginas basta para tomar la máquina. Está en el catálogo de vulnerabilidades explotadas de CISA y tiene exploit público.
- DirtyClone (CVE-2026-43503) y Fragnesia (CVE-2026-46300), las dos en XFRM/IPsec.
- pedit COW (CVE-2026-46331), en el control de tráfico.
- CVE-2026-53362, en la pila IPv6, también con explotación confirmada.
Por qué importa más de lo que parece
Son fallos locales: hace falta ya tener acceso a la máquina. Suena tranquilizador y no lo es. En un servidor compartido, o en cualquier sitio donde corra código de terceros —un plugin, una dependencia, un formulario mal filtrado—, ese acceso inicial es justo lo que consigue un atacante en el primer paso. Estas vulnerabilidades convierten un problema pequeño en la pérdida completa del servidor.
Qué hemos hecho
Los kernels con la corrección son el 7.1.3, 6.18.38, 6.12.95, 6.6.144 y 6.1.177 o posteriores. En los servidores que administramos nosotros —el hosting compartido, el correo y los VPS y dedicados en modalidad administrada— la actualización es cosa nuestra y ya está aplicada.
Si tienes un servidor sin administrar, la responsabilidad del kernel es tuya. Comprueba tu versión con uname -r y actualiza. Si prefieres que nos ocupemos, puedes pasar tu servidor a la modalidad administrada cuando quieras: escríbenos un ticket y lo vemos.
Fuentes: INCIBE-CERT · Telconet CSIRT · S2 Grupo