CISA añade tres vulnerabilidades del kernel Linux ya explotadas a su catálogo KEV
Los tres fallos permiten desde denegación de servicio hasta escalada de privilegios local. Red Hat ya ha actualizado sus avisos y las agencias federales tienen de plazo hasta el 21 de septiembre.
CISA metió el viernes tres vulnerabilidades del kernel Linux en su catálogo de vulnerabilidades explotadas conocidas (KEV). Es decir: hay evidencia de uso real contra sistemas en producción, no es una hipótesis de laboratorio. Las tres afectan a rutas del kernel que cualquiera que administre servidores Linux lleva años tocando de refilón.
La más grave es CVE-2025-39682, con un CVSS de 9,8. Es una comprobación defectuosa de condiciones excepcionales en la ruta de recepción de TLS. Un usuario local autenticado puede provocar divulgación de memoria o tumbar el sistema. El detalle de "local autenticado" es el que marca el tono de todo el lote: no hay explotación remota sin credenciales de por medio.
Las otras dos siguen la misma línea. CVE-2026-53266 (CVSS 8,8) es una escritura fuera de límites en la ruta de reescritura ARP de SNAT dentro de ebtables: comportamiento anómalo del sistema, denegación de servicio o escalada de privilegios local. CVE-2025-39964 (CVSS 7,8) es una condición de carrera que permite escrituras concurrentes sobre el mismo socket AF_ALG, lo que deja al atacante local la opción de tirar el sistema o corromper resultados de operaciones criptográficas.
Red Hat ya avisa, pero no hay detalle del ataque
No se sabe cómo se están explotando ni si los tres forman parte de una misma cadena. Red Hat actualizó sus avisos el 19 de septiembre a las 02:00 UTC para reconocer explotación activa, y en el caso de CVE-2025-39682 fue bastante directo: "esta CVE es de alto riesgo y hay exploits públicos conocidos que aprovechan esta vulnerabilidad". La recomendación que da es priorizarla por encima del resto.
En virtud de la directiva operativa vinculante BOD 26-04, que ordena priorizar las actualizaciones según el riesgo, las agencias federales civiles tienen hasta el 21 de septiembre para aplicar los parches. Para quien no sea agencia federal, el calendario lo marca el propio ciclo de mantenimiento: los kernels LTS reciben los arreglos en las revisiones de estabilidad de cada rama, y las distribuciones suelen retroportarlos.
El anuncio coincide con la divulgación, por parte del investigador Asim Manizada, de otros cuatro fallos de escalada de privilegios local en el kernel: CVE-2026-80844, al que llama DirtyAH6; CVE-2026-81000 (TUNderflow); CVE-2026-68121 (PPPoEject) y CVE-2026-74469 (DiagSpill). De momento son divulgaciones, no entradas en el KEV.
Lo que importa para quien lleva máquinas multiusuario —hosting compartido, servidores de build, bastiones con sesiones de varios equipos— es que el vector local no es teórico: basta un usuario con shell para intentarlo. Toca revisar los avisos de la distribución, aplicar el kernel parcheado y reiniciar, que es la parte que siempre se deja para el viernes por la tarde.
