Investigadores de Nebula Security han revelado GhostLock (CVE-2026-43499), una vulnerabilidad del kernel de Linux con 15 años de antigüedad que permite a cualquier usuario con sesión iniciada obtener control total de la máquina si no está parcheada.
El código vulnerable ha estado presente por defecto en prácticamente todas las distribuciones principales desde 2011. La falla no requiere permisos especiales, configuraciones inusuales ni acceso a la red; basta con llamadas de hilo ordinarias desde cualquier programa local.
Nebula la convirtió en un exploit funcional con un 97% de fiabilidad en sus pruebas, que también permite escapar de contenedores. Google recompensó al equipo con 92.337 dólares a través de su programa de cazarrecompensas kernelCTF.
No se tiene constancia de que se esté explotando activamente, pero Nebula ha publicado el código del exploit, por lo que cualquiera puede ejecutarlo. La prioridad es aplicar el parche.
Cómo funciona la vulnerabilidad
El kernel dispone de un sistema para evitar que una tarea urgente quede bloqueada detrás de una trivial. Parte de este sistema es un paso de limpieza que se ejecuta una vez que una tarea deja de esperar.
Normalmente funciona bien, pero en un caso excepcional —cuando una operación de bloqueo llega a un punto muerto y debe retroceder— la limpieza se ejecuta en el momento equivocado y borra el registro de la tarea incorrecta.
Ese error hace que el kernel conserve una "nota" que apunta a un fragmento de memoria ya liberado y reutilizado. Confiar en ese puntero obsoleto es el núcleo de la vulnerabilidad, un tipo de fallo conocido como use-after-free. A partir de ahí, el equipo de Nebula encadenó varios pasos para convertir ese pequeño error en control total, logrando que el kernel ejecutara su propio código como usuario root.
En su máquina de pruebas, el proceso tomó unos cinco segundos. La falla está presente en Linux desde 2011 y se corrigió en abril; las distribuciones están implementando el parche (3bfdc63936dd). Afecta a casi todas las versiones de Linux y tiene una puntuación de 7.8 sobre 10 (alta, no crítica) porque el atacante necesita tener una sesión iniciada en la máquina. Nebula la descubrió con VEGA, su herramienta de caza de bugs impulsada por inteligencia artificial.
Qué hacer
Instale el kernel actual de su distribución, no solo la primera versión parcheada. La corrección original introdujo un fallo de cuelgue adicional (CVE-2026-53166), y la solución definitiva aún se estaba ajustando a principios de julio, por lo que las primeras versiones pueden carecer de la versión final.
No existe una solución alternativa completa, ya que las operaciones que desencadenan la vulnerabilidad son rutinarias para cualquier proceso local.
La disponibilidad del parche es desigual hasta ahora. Por ejemplo, Ubuntu había parcheado su versión más reciente y algunos kernels en la nube, pero a principios de julio aún listaba las versiones 24.04, 22.04 y 20.04 LTS como vulnerables o en proceso. Consulte el aviso de su distribución y confirme la versión del paquete corregido, en lugar de asumir que hay uno disponible.
Dos opciones de compilación —RANDOMIZE_KSTACK_OFFSET y STATIC_USERMODE_HELPER— dificultan el exploit, pero son mitigaciones, no soluciones. Parchee primero las máquinas compartidas y con múltiples inquilinos, servidores en la nube, contenedores y ejecutores de CI, donde es más probable que un atacante obtenga el acceso local que necesita esta vulnerabilidad.
No es la única vulnerabilidad de kernel a root este año
GhostLock se suma a una serie de fallos de escalado de privilegios en Linux de 2026, varios de los cuales comparten un detalle: fueron encontrados por una herramienta automatizada.
VEGA descubrió GhostLock; días antes, investigadores revelaron Bad Epoll (CVE-2026-46242), un primo cercano que también convierte a un usuario sin privilegios en root. Fue demostrado a través de kernelCTF y, inusualmente para este tipo de fallo, funciona en Android.
Bad Epoll reside en la misma zona de código donde el modelo Mythos de Anthropic fue acreditado con una falla relacionada. Lo que comparten es un mecanismo del kernel antiguo y muy utilizado que pocos habían revisado en años, hasta que las herramientas automatizadas comenzaron a examinarlo. La herencia de prioridad de futex data de 2011. La clase no es teórica: otro fallo de 2026, Copy Fail (CVE-2026-31431), ya está en la lista de CISA de vulnerabilidades vistas en ataques reales.
GhostLock es también la segunda mitad de una cadena que Nebula llama IonStack. La primera mitad, CVE-2026-10702, es una falla de Firefox que ejecuta código dentro del navegador y escapa de su sandbox; GhostLock la lleva el resto del camino hasta root.
Nebula ya ha demostrado la cadena completa, desde un solo toque en un enlace malicioso hasta el control total, contra Firefox en Android. Por eso un fallo del kernel "solo local" sigue siendo importante: por sí solo necesita un punto de apoyo, pero acoplado a un exploit del navegador se convierte en un compromiso remoto. Nebula afirma que próximamente publicará un artículo completo sobre el exploit en Android.
