Kernel Linux: CVE-2026-46300 explotada, escritura en page cache

El 28 de octubre de 2026 la CISA incluyó la CVE-2026-46300 en el catálogo Known Exploited Vulnerabilities (KEV), con el nombre «Linux Kernel Missing Initialization of a Variable Vulnerability». Con su inclusión en el KEV, la vulnerabilidad del kernel Linux se considera explotada en ataques reales. El plazo para las agencias federales estadounidenses está muy cerca: el 31 de octubre de 2026.

La CVE no es nueva: su ficha en la base de datos NVD se publicó el 23 de mayo de 2026, con la vulnerabilidad ya indicada como corregida, y se actualizó el 28 de octubre. Por ahora NVD la indica como todavía en análisis.

Este artículo se basa en una sola fuente, la ficha del catálogo KEV con la descripción y los datos publicados en la base de datos NVD: la información que sigue es la que figura allí.

Qué ha pasado

El fallo está en la pila de red del kernel, en el código que gestiona los búferes de los paquetes (skbuff). Según la descripción de la corrección, la función skb_try_coalesce() puede mover los fragmentos de datos de un paquete a otro para unirlos. Si el paquete de origen tiene el indicador SKBFL_SHARED_FRAG, que señala fragmentos compartidos, el paquete resultante puede contener los mismos fragmentos, de propiedad externa o respaldados por la page cache (la caché de archivos del kernel), pero el indicador se pierde.

Otras partes del kernel dependen de ese indicador antes de escribir directamente sobre los datos. La descripción cita en particular la recepción ESP (el protocolo de cifrado de IPsec): antes de decidir si puede evitar copiar los datos con skb_cow_data(), comprueba skb_has_shared_frag(). Si la unión de paquetes en la recepción TCP ha movido fragmentos compartidos a un paquete sin indicador, la comprobación da negativo y ESP puede descifrar en el sitio, sobre fragmentos respaldados por la page cache.

El nombre usado en el catálogo KEV corresponde a la debilidad CWE-456 (falta de inicialización de una variable); la descripción técnica habla de un indicador que se pierde al unir los paquetes.

Detalles técnicos

• CVE: CVE-2026-46300.
• Producto: kernel Linux, pila de red (net: skbuff).
• Debilidades: CWE-787 (escritura fuera de límites), CWE-456 (falta de inicialización de una variable), CWE-123 (condición write-what-where).
• Puntuación CVSS 3.1: 7.8 (alta), con el vector AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H: ataque local, baja complejidad, privilegios bajos, sin interacción del usuario, impacto alto en confidencialidad, integridad y disponibilidad. La ficha NVD recoge dos valoraciones idénticas, una de ellas de NVD.
• Corrección: el parche propaga el indicador SKBFL_SHARED_FRAG cuando skb_try_coalesce() transfiere fragmentos. La copia en el espacio libre al final del paquete no lo necesita, porque copia los bytes en lugar de transferir las referencias a los fragmentos. La ficha NVD enumera ocho commits de corrección en las ramas estables del kernel y mensajes en la lista oss-security del 13 y del 21 de mayo de 2026.
• Explotación: confirmada por la CISA con su inclusión en el catálogo KEV. Según la CISA, por ahora no se sabe si se ha usado en campañas de ransomware.
• Cadena de ataque e indicadores: la fuente no describe cómo se ha explotado la vulnerabilidad y no indica técnicas MITRE ATT&CK ni indicadores de compromiso.

Versiones afectadas

Según los datos de NVD, están afectadas estas versiones del kernel:

• de la 3.9 hasta la 5.10.257, incluida;
• de la 5.11 hasta antes de la 5.15.208;
• de la 5.16 hasta antes de la 6.1.174;
• de la 6.2 hasta antes de la 6.6.141;
• de la 6.7 hasta antes de la 6.12.91;
• de la 6.13 hasta antes de la 6.18.33;
• de la 6.19 hasta antes de la 7.0.10;
• la 7.1.

Las versiones indicadas como límite excluido (por ejemplo 6.12.91 o 7.0.10) no figuran como afectadas. Para la rama 5.10 la fuente no indica la primera versión corregida. Entre las referencias de la ficha hay también numerosos boletines de Red Hat (RHSA y RHBA); para las demás distribuciones cuenta el paquete del kernel que publica cada una, que puede tener un número de versión distinto del kernel oficial.

Impacto para las empresas europeas e italianas

El kernel Linux está en todas partes: servidores físicos y virtuales, hosts de virtualización y de contenedores, appliances de red y de seguridad, sistemas embebidos. El vector CVSS indica un ataque local con privilegios bajos: quien ya tiene una cuenta o un proceso en la máquina, por ejemplo a través de un servicio comprometido o de un usuario sin privilegios, puede llegar a un impacto alto en confidencialidad, integridad y disponibilidad. Por eso los sistemas compartidos por varios usuarios o que ejecutan código no fiable son los más expuestos.

Para las entidades sujetas a NIS2, la actualización forma parte de la gestión de vulnerabilidades que exige la directiva, y un compromiso debe valorarse para su notificación al CSIRT nacional, que en Italia es el CSIRT Italia de la ACN. Lo mismo vale para las organizaciones sanitarias, que a menudo tienen servidores y equipos Linux detrás de sus aplicaciones clínicas.

Qué hacer ya

1. Inventario: identifica tus sistemas Linux y la versión del kernel en ejecución, incluidos appliances y dispositivos de proveedores, y compárala con los intervalos indicados.
2. Actualiza: instala el kernel con la corrección publicado por tu distribución o por el proveedor del appliance (busca CVE-2026-46300 en sus boletines) y reinicia: mientras el sistema no cargue el nuevo kernel, la vulnerabilidad sigue ahí. La CISA pide aplicar las mitigaciones del fabricante o, si no están disponibles, dejar de usar el producto.
3. Da prioridad a los sistemas con muchos usuarios o con código no fiable: servidores compartidos, hosts de contenedores, runners de CI, máquinas de desarrollo, y a los que usan IPsec, la ruta citada en la descripción.
4. Pregunta a tus proveedores de appliances basados en Linux si incluyen la corrección y cuándo. La fuente no indica soluciones temporales.
5. Busca señales de compromiso: la CISA remite a sus requisitos de triaje forense. Revisa cuentas y procesos inesperados, cambios en archivos del sistema y fallos del kernel en los sistemas que han pasado mucho tiempo sin actualizarse.

Cómo ayuda ARXDOME

ARX Sentry recoge logs, eventos e inventario de los servidores que tienen instalado el agente: te ayuda a encontrar tus sistemas Linux y sus versiones del kernel. ARX Shield muestra las vulnerabilidades abiertas por máquina y por paquete y destaca las ya explotadas, para que sigas la actualización sistema por sistema. Con ARX Horizon puedes consultar desde el portal los detalles de las vulnerabilidades.

Última actualización: 28 de octubre de 2026