La vulnerabilidad de raíz del kernel Linux que pasó inadvertida durante años y podría darte root

La comunidad de seguridad ha descubierto una vulnerabilidad de raíz profunda en el kernel de Linux que pasó inadvertida durante nueve años y que ahora recibe la etiqueta CVE-2026-46333, también conocida en algunos informes como ssh-keysign-pwn. El defecto, introducido en 2016 en la función __ptrace_may_access(), permite a un usuario local sin privilegios acceder a ficheros sensibles y, en escenarios reales, elevar privilegios hasta obtener root en instalaciones por defecto de distribuciones populares como Debian, Fedora y Ubuntu.

Desde el punto de vista técnico, el problema es un fallo en la gestión de permisos de ptrace, el mecanismo que permite a un proceso examinar o manipular otro. Ptrace fue diseñado para debugging, pero su incorrecta validación puede convertirse en un camino fiable hacia root, como describen los investigadores. La explotación reportada permite tanto la lectura de /etc/shadow y claves privadas de SSH como la ejecución arbitraria como root mediante vectores que abusan de binarios set-UID como chage, ssh-keysign, pkexec y accounts-daemon.

El hallazgo subraya una lección recurrente: piezas pequeñas del kernel que interactúan con mecanismos de usuario, como ptrace o canales de comunicación entre procesos, suelen ser superficie de riesgo durante años. En este caso concreto, la vulnerabilidad fue explotable en sistemas por defecto y hubo publicación de un proof-of-concept poco después de que apareciera un commit público relacionado, lo que incrementa la ventana de exposición para administradores desprevenidos.

Las implicaciones prácticas para operaciones y seguridad son directas y urgentes. Si un host permitió acceso de usuarios no confiables en el período de exposición, deben considerarse comprometidas las credenciales locales y las claves host de SSH. Los pasos inmediatos incluyen aplicar los parches del kernel provistos por las distribuciones, rotar las claves de host SSH y cualquier credencial administrativa que pudiera haber residido en la memoria de procesos set-UID.

Cuando no sea posible aplicar actualizaciones de inmediato, existe una mitigación temporal que modifica el ámbito de ptrace: elevar el valor de kernel.yama.ptrace_scope a 2 limita la capacidad de ptrace para acceder a procesos de otros usuarios. Es una medida de contención útil, pero no sustituye a la actualización del kernel ni a la revisión completa de credenciales en el sistema afectado.

Además de las acciones reactivas, conviene reforzar prácticas preventivas: reducir la cantidad de usuarios locales con acceso no privilegiado, auditar y minimizar binarios set-UID instalados por defecto, y deshabilitar módulos innecesarios como RDS o io_uring si no son requeridos por la carga de trabajo. Recuerde que otros fallos recientes del kernel han mostrado vectores similares (por ejemplo, exploits que dependen de RDS o io_uring) y que mitigar módulos no usados es una medida de bajo coste y alto beneficio.

Para equipos de respuesta e infraestructuras críticas, además de rotar claves, es recomendable revisar logs de autenticación y syscalls, y utilizar herramientas forenses para detectar artefactos de explotación local. Si se sospecha de intrusión previa a la mitigación, la opción más segura es reconstruir sistemas críticos y validar integridad desde imágenes de confianza; revertir solo parches puede no ser suficiente si se han exfiltrado credenciales.

Esta vulnerabilidad también obliga a la industria y a los administradores a pensar en ciclos de mantenimiento y parches de kernel como parte de la higiene básica: no dejar sistemas sin actualización durante años ni confiar ciegamente en la seguridad implícita de distribuciones por defecto. Para profundizar en cómo funciona ptrace y por qué es un vector recurrente, la documentación oficial del kernel ofrece contexto técnico útil: Documentación de ptrace en kernel.org. Para seguimiento de la vulnerabilidad y avisos, consulte fuentes de avisos de seguridad y bases de datos de CVE: NVD - National Vulnerability Database y revisiones y notas de investigación de proveedores como Qualys: Qualys Research.

En resumen, actúe ahora: aplique las actualizaciones del kernel cuando estén disponibles, implemente la mitigación temporal de ptrace si necesita tiempo para parchear, rote claves y credenciales locales si hubo acceso no confiable, y aproveche la ocasión para reducir la superficie de ataque eliminando binarios y módulos no necesarios. El patrón se repite: errores sutiles en mecanismos de interacción entre procesos pueden permanecer latentes años y, cuando se explotan, su impacto es inmediato y profundo.