Dos fallos de 15 años en el kernel de Linux exigen parches urgentes

Dos vulnerabilidades de alta gravedad que permanecieron latentes en el kernel de Linux durante más de 15 años fueron reveladas públicamente esta semana, lo que provocó la aplicación urgente de parches en las principales distribuciones y proveedores de nube. Ambas fueron demostradas a través de los programas de recompensas por errores de Google Alphabet Inc. ↘ 1.59% antes de que los parches estuvieran disponibles.

GhostLock: Root en cinco segundos

Investigadores de Nebula Security revelaron GhostLock (CVE-2026-43499), un fallo de uso después de liberación en el subsistema de mutex en tiempo real del kernel que ha estado presente en todas las distribuciones principales de Linux desde su introducción en Linux 2.6.39 en mayo de 2011. La vulnerabilidad, que obtiene una puntuación de 7.8 en la escala CVSS, solo requiere acceso de usuario local ordinario: sin permisos especiales, sin acceso a la red y sin configuraciones inusuales.secure+3

El error reside en la función `remove_waiter()`, que se reutilizó en un contexto para el que sus suposiciones originales no estaban preparadas, dejando un puntero colgante a la memoria del kernel explotable para la escalada de privilegios. Nebula afirma que su exploit tiene éxito el 97 por ciento de las veces, lo que le valió al equipo 92.337 dólares a través del programa kernelCTF de Google.privacyguides+1

La corrección llegó a la rama principal en abril de 2026 en Linux 7.1, pero el despliegue en las distribuciones sigue siendo desigual. A principios de julio, Ubuntu todavía listaba sus versiones 24.04, 22.04 y 20.04 LTS como vulnerables o en proceso. Red Hat emitió un boletín de seguridad que cubre de RHEL 6 a 10 y lanzó un kernel parcheado para RHEL 9 el 8 de julio. No existe una solución alternativa completa porque la ruta de código vulnerable es utilizada por operaciones de subprocesos rutinarias.thehackernews+3

Januscape: Escapar de la máquina virtual

Por separado, el investigador de seguridad Hyunwoo Kim reveló Januscape (CVE-2026-53359), un uso después de liberación en la emulación MMU de sombra de KVM que permite a una máquina virtual invitada maliciosa escapar al host y ejecutar código como root. Kim demostró el fallo como un día cero en el programa kvmCTF de Google, que ofrece hasta 250.000 dólares por un escape completo de VM a host.securityweek+2

El código vulnerable data de agosto de 2010 en Linux 2.6.36 y afecta tanto a arquitecturas Intel como AMD, siendo el primer escape de KVM conocido que lo hace. Se ha publicado una prueba de concepto que provoca un pánico en el kernel del host desde dentro de un invitado, aunque el exploit de escape completo sigue retenido. El fallo fue parcheado en la rama principal el 19 de junio y adaptado a las ramas estables para el 4 de julio.cybernews+4

Proveedores de nube en alerta

Los operadores de nube enfrentan la amenaza más aguda de Januscape. "Un atacante que haya alquilado una sola instancia en una nube pública podría provocar un pánico en el kernel del host para eliminar a cualquier otro inquilino de VM en la misma máquina física, o ejecutar código con privilegios de root en el host para tomar el control del host y de todos los invitados en él", escribió Kim en su aviso. Se recomienda a las organizaciones que no puedan parchear de inmediato que deshabiliten la virtualización anidada o restrinjan los permisos en `/dev/kvm`, que es escribible por todos de forma predeterminada en RHEL 8 y versiones posteriores.cloudlinux+3