Canadá alerta sobre CVE-2026-98432 en el kernel Linux y recomienda actualizar ramas afectadas

El Centro Canadiense de Ciberseguridad publicó el 30 de octubre una alerta para CVE-2026-98432 en Linux. Enumera versiones anteriores a 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 y 7.3, con diferencias por rama. La alerta remite al registro CVE y a una discusión técnica de Openwall sobre programas Go.

La exposición no se determina solamente por el nombre de la distribución. Linux empresarial suele incorporar parches de seguridad a ramas mantenidas, por lo que los administradores deben consultar el estado del kernel que distribuye su fabricante y la versión efectiva instalada. Sistemas embebidos, appliances, contenedores con kernel del host compartido y servidores de larga vida requieren comprobación explícita.

Inventarie hosts y plataformas, asocie cada kernel con el canal de actualización correspondiente y revise los avisos de la distribución. Aplique las versiones corregidas o mitigaciones aprobadas por el proveedor; no sustituya un kernel de producción por una versión upstream sin validar compatibilidad. Registre la fecha de parche y reinicio cuando proceda y priorice activos expuestos o que procesen tráfico no confiable.

El aviso canadiense describe producto y rangos, pero no publica en el resumen una descripción completa del vector de ataque ni afirma explotación activa. Para decidir severidad operacional, los responsables deben leer el registro CVE y los avisos del fabricante de su distribución, confirmar condiciones de explotación y considerar la exposición del sistema. No se debe inferir que todos los equipos Linux son vulnerables ni que una actualización de versión menor resuelve automáticamente el problema.

Los equipos de respuesta pueden monitorizar actualizaciones del CVE y del proveedor, probar el parche en sistemas representativos y mantener un plan de recuperación. Si se sospecha actividad anómala, preservar registros y memoria antes de reinstalar. La alerta recomienda aplicar actualizaciones necesarias; no indica una campaña confirmada contra empresas ecuatorianas ni una obligación regulatoria específica.