Fallos en el kernel de Linux que dormían desde hace años salieron a la luz con MDASH de Microsoft: 59 informes públicos, 33 CVE asignados y ocho fallos con explotación confirmada hasta administrador en laboratorio. El más viejo llevaba al menos 21 años dentro del código. Nadie lo había visto.
El trabajo lo firmó el FORGE Lab de Microsoft en su blog de seguridad del 11 de noviembre. Un investigador a tiempo completo y un becario dirigieron un esfuerzo de tres meses con MDASH, el sistema de escaneo con agentes de inteligencia artificial de la casa. Entre finales de mayo y mediados de junio de 2026 revisaron un subconjunto del kernel: redes, sistemas de archivos y módulos de seguridad, piezas sin dependencia de hardware especializado, elegidas para validar cada hallazgo en QEMU.
Dos servidores, uno de 64 núcleos con 256 GB de memoria y otro de 32 con 128 GB, produjeron 26.502 hallazgos brutos en unas dos semanas. El escaneo corrió sobre todo con Sonnet 4.6, el 71,1 % de los tokens de esa fase, con GPT-5.4 en el 20,1 % y GPT-5.5 en el 7,1 %. Un hallazgo bruto no es una vulnerabilidad. Es una sospecha que pide prueba.
Ahí empezó el embudo. El cribado bajó la lista a 11.769 candidatos. Otros agentes intentaron reproducir cada caso en QEMU, con GPT-5.5 al frente en el 77,3 % de los tokens de esa fase. Quedaron 621 casos con evidencia de prueba de concepto. CSO Online, en su cobertura del 12 de noviembre, subrayó ese mismo corte: la máquina propuso a miles, pero la validación siguió siendo trabajo humano, caso por caso.
De 621 pruebas a 59 informes
Los especialistas revisaron los 621 casos para identificar la causa raíz, fundir duplicados y preparar el envío a los mantenedores. Solo 59 se convirtieron en informe público, el 9,5 %: 266 compartían causa con otro caso y un mismo parche los cubre, 163 no se reportaron por impacto limitado y 133 ya habían sido reportados o corregidos por otra vía. El primer informe salió el 27 de junio, más de cinco semanas después de arrancar el escaneo. El 1 de septiembre ya eran públicos 55 de los 59; los cuatro restantes pasaron a las listas públicas a mediados de octubre.
De los 33 CVE asignados a este lote, 24 tienen severidad Alta o superior, con puntuación CVSS v3.1 de 7,0 o más. En ocho, el equipo confirmó en laboratorio una explotación local que sube privilegios hasta administrador, con la salvedad impresa por los propios investigadores: algunos casos pedían ajustes no predeterminados o defensas desactivadas. Las correcciones avanzan a otro ritmo: 38 de los 59 informes ya tienen arreglo en la línea principal de Linux, la mitad a la primera entrega y el resto tras entre una y cuatro revisiones. Desde el primer parche público hasta una versión principal pasaron 41 días de mediana, con un máximo de 108.
La edad media de los fallos en el kernel de Linux reportados fue de 8,1 años al primer informe público. Seis llevaban entre 15 y 19 años en el código y tres pasaban de los 20. El récord lo marcó CVE-2026-74544, un desplazamiento fuera de límites en cls_u32, el clasificador de tráfico, presente desde hace al menos 21 años.
Un fallo de una línea en rhashtable
El caso que el equipo desmenuzó fue CVE-2026-64563, un error de una sola línea en rhashtable, la tabla hash redimensionable compartida que usan muchos subsistemas del kernel. Un cambio de 2018, identificado como 5d240a8936f6, movió el borrado del puntero del iterador a solo una de las dos rutas de reanudación de un recorrido. Si el recorrido se pausa, la tabla se redimensiona y la entrada guardada se elimina en ese intervalo, al reanudar el código sigue un puntero hacia memoria ya liberada. Tres condiciones raras tienen que coincidir, y esa rareza explica ocho años sin detección.
La ruta explotable pasa por el diagnóstico de conexiones de Netlink, alcanzable por usuarios sin privilegios en kernels estándar. El equipo demostró la subida de privilegios en Linux y en Android con SELinux activo, sin configuraciones especiales. La corrección se reduce a limpiar ese puntero obsoleto antes de volver. Yuan Tan, de NebuSec, halló el mismo fallo por su cuenta; Frank Wu, también de NebuSec, aportó la técnica de explotación y pruebas funcionales, un crédito que Microsoft imprimió con nombre y apellido.
Para quien administra servidores, la lectura práctica es directa: estos 38 arreglos viven en la línea principal, y su llegada a cada distribución depende del ritmo de cada mantenedor, así que el seguimiento de las actualizaciones del sistema que se usa manda sobre el titular. El lote se suma al panorama que dejó el récord de CVE de 2026: descubrir fallos ya no es la parte lenta del problema.
El propio FORGE Lab cerró con esa desproporción contada en meses. Escanear tomó unas dos semanas; reportar los 59 casos consumió más de cuatro meses-persona de trabajo experto, y cinco meses después del arranque solo 38 correcciones están integradas. El escaneo cubrió una fracción pequeña del kernel, y el equipo advirtió que ajustar el sistema y gastar más tokens sacaría más fallos a la superficie, sin que eso, por sí solo, deje un sistema seguro. La cuenta pendiente es de capacidad de corrección: 21 informes de este lote siguen su curso con los mantenedores.
Fuente: Microsoft Security Blog
Top comments (0)