CVE-2026-46300: variable sin inicializar en el kernel de Linux (ESP/page cache)

CVE-2026-46300: CISA añade a KEV una falla del kernel de Linux explotada activamente

El 28 de octubre de 2026 CISA incorporó CVE-2026-46300 al catálogo de Vulnerabilidades Explotadas Conocidas (KEV). Se trata de una vulnerabilidad de falta de inicialización de variable (CWE-456) en el kernel de Linux, con CVSS 7.8 (alto). La fecha límite para agencias federales civiles (FCEB) es el 31 de octubre de 2026. CISA no indica, por ahora, uso conocido en campañas de ransomware.

Análisis Técnico

Según CISA, el fallo permite la modificación no prevista de datos respaldados por la page cache. El kernel no preserva el marcador de shared-fragment durante la unión (coalescing) de buffers de socket (sk_buff). Como consecuencia, el procesamiento de entrada de ESP (IPsec) termina descifrando fragmentos compartidos in situ, escribiendo sobre páginas que otros procesos o el sistema de archivos consideran de solo lectura.

Vector de Ataque

CISA indica que la vulnerabilidad puede encadenarse con CVE-2026-109618 y CVE-2026-109619 para implantar webshells PHP y ejecutar comandos como root. Es decir, la primitiva de escritura sobre page cache sirve como pieza de una cadena de escalada de privilegios local y compromiso de servidores web.

Alteración de contenido cacheado de archivos (por ejemplo, código servido por PHP).
Implantación de webshells y ejecución de comandos con privilegios de root.
El CVSS 7.8 es coherente con un vector local de bajo privilegio y alto impacto.

Impacto Operacional y de Seguridad

El principal riesgo recae en servidores Linux que ejecutan aplicaciones web (especialmente PHP) o que procesan tráfico IPsec/ESP. Un atacante con acceso inicial limitado puede obtener control total del host, comprometiendo confidencialidad, integridad y disponibilidad. Al ser un componente de código abierto reutilizado, el alcance abarca múltiples distribuciones, appliances y productos que embeben el kernel.

Productos Afectados

Kernel de Linux (componente de red / procesamiento ESP).
Distribuciones y productos derivados que incorporen versiones sin los parches upstream.

Las versiones exactas dependen de cada rama estable; consulte los commits upstream y el aviso de su distribución.

Recomendaciones y Mitigación

Acciones Inmediatas Recomendadas

Aplicar los parches de las ramas estables del kernel (commits listados en Referencias) o actualizar al kernel corregido de su distribución, y reiniciar.
Priorizar activos expuestos a internet, según la directiva BOD 26-04 de CISA.
Revisar los hosts en busca de webshells PHP y modificaciones inesperadas en directorios web; aplicar los requisitos de triaje forense de CISA.
Si no hay mitigación disponible, evaluar discontinuar el uso del producto afectado.
Monitorear ejecución anómala de comandos como root desde procesos del servidor web.