CISA prioriza tres fallas explotadas del kernel Linux y exige investigación forense

CISA incorporó el 18 de septiembre tres vulnerabilidades del kernel Linux a su catálogo de fallas explotadas: CVE-2025-39682, CVE-2026-53266 y CVE-2025-39964. La agencia no atribuyó los ataques ni publicó objetivos o técnicas concretas, por lo que la confirmación de explotación procede de su inclusión en KEV.

Las tres entradas tienen fecha límite del 21 de septiembre para las agencias federales estadounidenses y requieren análisis forense de los activos potencialmente expuestos. Para el resto de organizaciones, la combinación de explotación confirmada y compromiso del kernel justifica aplicar la misma prioridad basada en riesgo.

CVE-2025-39682 afecta la ruta de recepción de kernel TLS cuando kTLS está habilitado y asociado a sockets TCP. Un registro de longitud cero puede romper las reglas de procesamiento y provocar que registros posteriores se manejen con supuestos incorrectos de cola y copia cero; Red Hat indica que esta condición puede activarse remotamente cuando la función está en uso.

CVE-2026-53266 es una escritura fuera de límites en el objetivo SNAT de ebtables para puentes, durante la reescritura de la dirección de hardware del remitente ARP. Requiere reglas específicas y acceso local, pero puede causar corrupción de memoria, denegación de servicio o elevación de privilegios.

CVE-2025-39964 es una condición de carrera en la interfaz criptográfica AF_ALG. Escrituras concurrentes sobre el mismo socket pueden intercalarse y dejar inconsistente el estado interno, con riesgo de corrupción de resultados criptográficos o caída del sistema.

La exposición no es uniforme: depende de la distribución, el kernel empaquetado, los backports y de que cada subsistema esté realmente habilitado. Por ello, comparar únicamente el número de versión del kernel puede producir falsos positivos o negativos; la comprobación debe realizarse contra el aviso de la distribución y el paquete instalado.

Que dos fallas necesiten acceso local no reduce su importancia en servidores donde un atacante ya obtuvo una cuenta, explotó un servicio o escapó parcialmente de un contenedor. En ese escenario, el kernel puede convertirse en la vía para ampliar privilegios o afectar al host subyacente.