Claude descubre CVE-2026-98432: un fallo crítico en Linux sin credenciales

Hemos visto caer muchas defensas a lo largo de los años, pero esta última me ha dejado con la boca abierta. Anthropic acaba de presentar CVE-2026-98432, una vulnerabilidad crítica que lleva latente desde la versión 4.4 de Linux (enero de 2016). El fallo reside en la gestión de memoria de las conexiones TCP sobre IPv4 y afecta directamente a la pila de red. Lo verdaderamente impresionante es que no requiere interacción previa ni credenciales; basta con enviar el tráfico adecuado para ejecutar comandos como administrador.

Nosotros hemos analizado cómo Claude, el modelo de investigación de Anthropic, desarrolló un exploit capaz de superar las protecciones en solo 53 minutos. Inicialmente se pensó que afectaba principalmente a servicios Multipath TCP (MPTCP), pero Red Hat confirmó días antes que la brecha está en el núcleo de IPv4, tocando también sistemas con MPTCP desactivado, como RHEL. Los servidores que aceptan conexiones entrantes son los más expuestos, aunque no todos los entornos se ven comprometidos automáticamente.

La gravedad del asunto es máxima: 9,8 sobre 10 según los estándares actuales. Esto significa que un atacante puede tomar el control total sin derribar el servidor, ya que los intentos fallidos solo interrumpen la conexión temporalmente. Ya existe parche oficial en el kernel estable, pero os recomiendo actualizar cuanto antes. Es otro ejemplo claro de cómo la IA actúa como espada y escudo: encuentra agujeros tan rápido como los cierra, elevando la presión sobre los mantenedores de código.