{"id":1123,"date":"2026-06-08T21:57:54","date_gmt":"2026-06-08T21:57:54","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/06\/08\/la-falla-del-kernel-de-linux-de-un-caracter-permite-el-acceso-raiz-local-los-exploits-ahora-son-publicos-cyberdefensa-mx\/"},"modified":"2026-06-08T21:57:54","modified_gmt":"2026-06-08T21:57:54","slug":"la-falla-del-kernel-de-linux-de-un-caracter-permite-el-acceso-raiz-local-los-exploits-ahora-son-publicos-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/06\/08\/la-falla-del-kernel-de-linux-de-un-caracter-permite-el-acceso-raiz-local-los-exploits-ahora-son-publicos-cyberdefensa-mx\/","title":{"rendered":"La falla del kernel de Linux de un car\u00e1cter permite el acceso ra\u00edz local, los exploits ahora son p\u00fablicos \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"
\n

Investigadores de seguridad han publicado un exploit detallado y funcional para un kernel de Linux de uso libre que permite a un usuario local sin privilegios escalar a root y salir de un contenedor.<\/p>\n

La falla, CVE-2026-23111, se encuentra en el c\u00f3digo de filtrado de paquetes nf_tables del kernel y fue parcheado aguas arriba<\/a> el 5 de febrero de 2026. Exodus Intelligence lanz\u00f3 su tutorial t\u00e9cnico completo<\/a> el 8 de junio, y ni siquiera es el primer exploit p\u00fablico: FuzzingLabs public\u00f3 un reproducci\u00f3n independiente<\/a> all\u00e1 por abril.<\/p>\n

La falla se redujo a un solo car\u00e1cter perdido, una marca invertida en nf_tables, y la soluci\u00f3n ascendente lo elimin\u00f3 en una l\u00ednea. Ubuntu califica el defecto CVSS 7.8 (alto). Si el paquete del kernel de su distribuci\u00f3n a\u00fan no incluye la soluci\u00f3n, actualice y reinicie.<\/p>\n

La configuraci\u00f3n accesible es com\u00fan: nf_tables m\u00e1s espacios de nombres de usuario sin privilegios, una caracter\u00edstica de Linux que permite que una cuenta normal act\u00fae como root dentro de una zona de pruebas privada y acceda al c\u00f3digo del kernel que de otro modo no podr\u00eda.<\/p>\n

Ambos se env\u00edan de forma predeterminada en la mayor\u00eda de las computadoras de escritorio y en muchas versiones de servidores. No existe un vector remoto por s\u00ed solo. Este es un error que un atacante aprovecha despu\u00e9s de establecerse, convertir un shell con pocos privilegios, un contenedor comprometido o una cuenta de servicio en root en el host.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

El investigador de Exodus, Oliver Sieber, que encontr\u00f3 el error a principios de 2025, lo encaden\u00f3 a una ra\u00edz local completa. El exploit activa el uso despu\u00e9s de la liberaci\u00f3n, evita las protecciones de memoria integradas del kernel y luego toma el control de la ejecuci\u00f3n para otorgarse root y salir del espacio de nombres del contenedor.<\/p>\n

Lo demostr\u00f3 en Debian Bookworm, Debian Trixie, Ubuntu 22.04 LTS y Ubuntu 24.04 LTS.<\/p>\n

FuzzingLabs reprodujo el error en RHEL 10 antes de Pwn2Own Berlin 2026, creando su propio exploit ra\u00edz por una ruta diferente. El cronograma es ajustado: la soluci\u00f3n se envi\u00f3 el 5 de febrero, FuzzingLabs se public\u00f3 el 16 de abril y el art\u00edculo detallado de Exodus lleg\u00f3 el 8 de junio.<\/p>\n

La t\u00e9cnica ahora est\u00e1 documentada en Debian, Ubuntu y Red Hat. Debido a que el error est\u00e1 en la l\u00ednea principal, cualquier distribuci\u00f3n que env\u00ede un kernel vulnerable con ambas caracter\u00edsticas habilitadas est\u00e1 expuesta, a menos que el endurecimiento o las restricciones de espacio de nombres de una distribuci\u00f3n bloqueen la ruta.<\/p>\n

CVE-2026-23111 aparece en medio de una gran cantidad de divulgaciones de ra\u00edz local de Linux. Las \u00faltimas semanas han tra\u00eddo Copy Fail, la cadena Dirty Frag, su variante Fragnesia, DirtyDecrypt, y una falla de ptrace de nueve a\u00f1os que lee \/etc\/shadow y ejecuta comandos como root.<\/p>\n

Difieren en los detalles, pero comparten la parte que deber\u00eda preocupar a los defensores: un punto de apoyo sin privilegios sigue convirti\u00e9ndose en root en instalaciones normales.<\/p>\n

Actualice el kernel y reinicie. El error es solo local y necesita espacios de nombres de usuario sin privilegios, as\u00ed que conc\u00e9ntrese primero en los sistemas que permiten que los usuarios o cargas de trabajo que no son de confianza los creen.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

Ubuntu tiene correcciones para 22.04, 24.04 y 25.10, y Debian corrigi\u00f3 Bookworm y Trixie, con un backport 6.1 para Bullseye LTS. Red Hat, SUSE y Amazon Linux tambi\u00e9n rastrean la falla; Consulte el aviso de su distribuci\u00f3n para encontrar el paquete del kernel que coincida con el suyo, ya que la versi\u00f3n fija exacta var\u00eda. La soluci\u00f3n inicial fue una sola l\u00ednea de c\u00f3digo.<\/p>\n

Hay un panorama m\u00e1s amplio. en un revisi\u00f3n reciente del aumento de LPE<\/a>Synacktiv vincula el ritmo con la investigaci\u00f3n asistida por IA y la diferenciaci\u00f3n de parches que eliminan los exploits funcionales antes de que se propaguen las correcciones, y argumenta que el endurecimiento ordinario a\u00fan les da tiempo a los defensores.<\/p>\n

La mayor\u00eda de estos errores se basan en caracter\u00edsticas opcionales del kernel o valores predeterminados flexibles, por lo que cortar lo que los usuarios sin privilegios pueden alcanzar, en este caso los espacios de nombres de usuario, retrasa el exploit hasta que se implementa el parche.<\/p>\n

No hay informes p\u00fablicos de explotaci\u00f3n en la naturaleza y ning\u00fan actor de amenazas ha sido vinculado a ella. El parche ha estado disponible desde febrero y el c\u00f3digo de explotaci\u00f3n es p\u00fablico desde abril.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"

Investigadores de seguridad han publicado un exploit detallado y funcional para un kernel de Linux de uso libre que permite a un usuario local sin privilegios escalar a root y salir de un contenedor. La falla, CVE-2026-23111, se encuentra en el c\u00f3digo de filtrado de paquetes nf_tables del kernel y fue parcheado aguas arriba el […]<\/p>\n","protected":false},"author":1,"featured_media":752,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[68,38,2980,24,70,144,263,2364,15,2546,52,265,747,860,890],"class_list":["post-1123","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-acceso","tag-ahora","tag-caracter","tag-cyberdefensa-mx","tag-del","tag-exploits","tag-falla","tag-kernel","tag-linux","tag-local","tag-los","tag-permite","tag-publicos","tag-raiz","tag-son"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1123","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=1123"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1123\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/752"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=1123"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=1123"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=1123"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}