Durante quince años, un fallo estuvo esperando en silencio dentro del código de bloqueo del kernel de Linux, sin que nadie lo notara. GhostLock (CVE-2026-43499), descubierto por la herramienta de análisis automatizado de Nebula Security, permite a cualquier usuario local sin privilegios convertirse en root en cuestión de segundos.
Un fallo introducido en 2011, encontrado en 2026
El error se introdujo en 2011, con la reescritura del código rtmutex del kernel (Linux 2.6.39), y afecta a cualquier versión hasta la 7.1-rc1 — es decir, prácticamente cualquier distro que hayas usado en la última década y media, siempre que tenga activado CONFIG_FUTEX_PI, algo habilitado por defecto en casi cualquier kernel de distribución.No es un bug exótico de una configuración rara — es tan universal como puede serlo un fallo de kernel.
Cómo funciona, explicado sin perderse en jerga
El fallo vive en el mecanismo de «herencia de prioridad» que usa el kernel para evitar que un hilo urgente se quede bloqueado detrás de uno de menor prioridad que tiene un recurso ocupado. Un paso de limpieza del código, al gestionar ese proceso, actualiza por error el registro del hilo equivocado — dejando a un hilo todavía activo apuntando a una zona de memoria que ya ha sido liberada. Lo inusual es que esa memoria vive en la propia pila del kernel, no en el heap, que es donde suele aparecer este tipo de fallos.
Un atacante que coordina cuidadosamente varios hilos y estructuras de bloqueo puede aprovechar ese puntero colgante para escribir en memoria del kernel, y de ahí escalar hasta control total como root.
Cifras que dan que pensar
El exploit público de prueba de concepto de Nebula Security alcanza root desde un proceso sin privilegios en unos cinco segundos, con un 97% de fiabilidad. Se ha reproducido el disparo del fallo en Debian 11/12/13, EL7 y EL10 — no es teórico, funciona de verdad y de forma consistente. Google recompensó el hallazgo con 92.337 dólares a través de su programa kernelCTF.
No es solo un problema de servidores físicos: también rompe contenedores
Aquí está el matiz que más debería preocupar a cualquiera que gestione infraestructura de contenedores o virtualización: los contenedores comparten el kernel del host. Namespaces, cgroups, seccomp, AppArmor o SELinux pueden reducir la explotabilidad, pero no cambian el hecho de que el código del kernel es compartido — una escalada de privilegios alcanzable desde dentro de un contenedor puede convertirse en un escape completo del contenedor si el endurecimiento del entorno no detiene la cadena. En un servidor multiusuario o multi-tenant, esto es el peor escenario posible: un sitio comprometido, una cuenta de shell de poca confianza, o un plugin hackeado puede escalar a control total de la máquina y de cualquier otro cliente que comparta ese mismo servidor.
La cadena completa: de un clic en un enlace a control total
GhostLock no vive solo — es la segunda mitad de una cadena que Nebula llama IonStack. La primera mitad, CVE-2026-10702, es un fallo de Firefox (ya corregido en la versión 151.0.3) que permite ejecutar código dentro del navegador. GhostLock lleva esa ejecución inicial el resto del camino hasta root. Nebula ya ha demostrado la cadena completa, desde un solo toque en un enlace malicioso hasta control total, contra Firefox en Android.
Estado del parche
El fallo ya está corregido en el kernel mainline (commit 3bfdc63936dd, Linux 7.1) — la misma versión que cubrimos hace poco en este sitio. AlmaLinux, CloudLinux y otras distros ya han publicado kernels parcheados en sus repositorios de producción. Si gestionas Proxmox VE (que corre sobre un kernel basado en Debian), conviene comprobar que tu sistema ya recibió el parche vía KernelCare o la actualización estándar de tu distro base.
No hay mitigación práctica real más allá de actualizar el kernel — activar RANDOMIZE_KSTACK_OFFSET reduce la probabilidad de éxito del exploit a aproximadamente 1 entre 64, pero no sustituye al parche.
