Vulnerabilidad grave en Linux Kernel (CVE-2026-46300) ya explotada

Vulnerabilidad grave en Linux Kernel (CVE-2026-46300) ya explotada

Qué es y a quién afectaEl kernel de Linux arrastra una vulnerabilidad identificada como CVE-2026-46300, con el nombre oficial «Linux Kernel Missing In...

Qué es y a quién afecta

El kernel de Linux arrastra una vulnerabilidad identificada como CVE-2026-46300, con el nombre oficial «Linux Kernel Missing Initialization of a Variable Vulnerability». El fallo, clasificado por NIST con una puntuación CVSS 3.1 de 7.8 (HIGH) y publicado en la NVD el 23 de mayo de 2026, afecta a un rango muy amplio de versiones del kernel: desde la 3.9 hasta la 5.10.257 (incluida), y desde la 5.11 hasta la 5.15.208, desde la 5.16 hasta la 6.1.174, desde la 6.2 hasta la 6.6.141, desde la 6.7 hasta la 6.12.91, desde la 6.13 hasta la 6.18.33 y desde la 6.19 hasta la 7.0.10, además de las versiones candidatas 7.1 rc1 a rc4.

Metáfora visual de una fuga en una tubería de cristal que contamina un depósito compartido, ilustrando la vulnerabilidad del kernel Linux

En la práctica, esto significa que cualquier servidor Linux con un kernel dentro de esos rangos puede ser vulnerable: desde una máquina virtual en un proveedor cloud hasta el servidor que aloja una tienda PrestaShop o un WordPress corporativo. Si tu pyme, comercio online o equipo de IT gestiona servidores propios, conviene revisar la versión del kernel antes de dar por hecho que estáis protegidos.

El problema está en la lógica de coalescencia de buffers de socket (skbuff): al fusionar fragmentos paginados, el kernel puede perder el marcador de fragmento compartido (SKBFL_SHARED_FRAG). Eso rompe una invariante que usan los escritores en sitio posteriores, de modo que el procesamiento de entrada ESP puede descifrar en sitio sobre fragmentos respaldados por la caché de páginas. El resultado es una modificación no intencionada de datos compartidos, con posibles consecuencias de corrupción de memoria (CWE-787, CWE-456 y CWE-123).

Por qué es urgente: ya se explota en ataques reales

No estamos ante una vulnerabilidad teórica. CISA añadió CVE-2026-46300 a su catálogo KEV (Known Exploited Vulnerabilities) el 28 de octubre de 2026, lo que confirma que se está explotando en ataques reales. El plazo que CISA da a las agencias federales de EE. UU. para corregirla vence el 31 de octubre de 2026, apenas tres días después de la inclusión.

La gravedad se multiplica porque el fallo puede encadenarse con CVE-2026-109618 y CVE-2026-109619 para implantar webshells en PHP y ejecutar comandos como root. Es decir, un atacante que consiga encadenar estas piezas puede acabar controlando el servidor donde corre la web de tu empresa. En el material de CISA no consta uso en campañas de ransomware, pero eso no rebaja la urgencia: la explotación activa está confirmada.

Qué hacer hoy

La acción que exige CISA es aplicar las mitigaciones según las instrucciones del fabricante, evaluando la exposición a internet de cada activo. En la práctica, para una pyme o un equipo de IT pequeño, esto se traduce en una secuencia concreta:

  • Comprobar si usáis el producto y en qué versión. Revisad el kernel de todos los servidores, incluidos los entornos de staging y las máquinas virtuales que a veces se olvidan.
  • Aplicar la actualización o mitigación del aviso del fabricante. El kernel de Linux publica parches en sus repositorios estables; seguid el aviso oficial y no improviséis versiones que no estén indicadas. Si no hay mitigación disponible para vuestro caso, CISA contempla dejar de usar el producto afectado.
  • Revisar indicios de intrusión. Buscad ficheros PHP sospechosos, procesos inesperados, conexiones salientes raras y cambios en el contenido de la web. Un webshell puede pasar desapercibido durante semanas.
  • Reducir lo expuesto a internet. Cerrad servicios que no necesitéis publicar, limitad el acceso a paneles de administración y revisad qué servidores tienen IP pública.

Todo esto encaja, además, con las obligaciones del RGPD y la LOPDGDD: si un atacante llega a ejecutar comandos como root, los datos personales de clientes y pedidos quedan expuestos y puede ser necesario notificar la brecha.

Cómo puede ayudar un equipo de ciberseguridad como el de ALMC

En ALMC trabajamos con pymes, comercios online y empresas de Lleida, Barcelona, Tarragona, Girona y resto de España que tienen webs en WordPress, PrestaShop o Joomla, servidores propios o un equipo de IT pequeño. Ante una vulnerabilidad como CVE-2026-46300, lo primero es saber qué tenéis: una auditoría de seguridad y un pentesting permiten identificar versiones de kernel, servicios expuestos y puntos débiles antes de que los exploten.

A partir de ahí, el trabajo se centra en el hardening de servidores, la monitorización y la respuesta a incidentes, el mantenimiento y actualización de WordPress, PrestaShop y Joomla, y la reparación de webs hackeadas si la intrusión ya se ha producido. La idea es sencilla: cerrar vulnerabilidades y aplicar parches de seguridad de forma ordenada, sin dejar cabos sueltos en los servidores que sostienen vuestro negocio.

Relacionado

¿Está tu empresa expuesta a fallos como este?

En ALMC revisamos qué versiones tienes publicadas, aplicamos los parches y endurecemos tus servidores y tu web. Descubre nuestros servicios de ciberseguridad o contáctanos para una revisión.