Durante quince años, un fallo estuvo esperando en silencio dentro del
código de bloqueo del kernel de Linux, sin que nadie lo notara.
GhostLock (CVE-2026-43499), descubierto por la herramienta de análisis
automatizado de Nebula Security, permite a cualquier usuario local sin
privilegios convertirse en root en cuestión de segundos.
Un fallo introducido en 2011, encontrado en 2026
El error se introdujo en 2011, con la reescritura del código rtmutex del kernel (Linux 2.6.39), y afecta a cualquier versión hasta la 7.1-rc1 — es decir, prácticamente cualquier distro que hayas usado en la última década y media, siempre que tenga activado CONFIG_FUTEX_PI, algo habilitado por defecto en casi cualquier kernel de distribución.
No es un bug exótico de una configuración rara — es tan universal como puede serlo un fallo de kernel.
Cómo funciona, explicado sin perderse en jerga
El fallo vive en el mecanismo de "herencia de prioridad" que usa el
kernel para evitar que un hilo urgente se quede bloqueado detrás de
uno de menor prioridad que tiene un recurso ocupado. Un paso de
limpieza del código, al gestionar ese proceso, actualiza por error el
registro del hilo equivocado — dejando a un hilo todavía activo
apuntando a una zona de memoria que ya ha sido liberada. Lo inusual es
que esa memoria vive en la propia pila del kernel, no en el heap, que
es donde suele aparecer este tipo de fallos.
Un atacante que coordina cuidadosamente varios hilos y estructuras de
bloqueo puede aprovechar ese puntero colgante para escribir en memoria
del kernel, y de ahí escalar hasta control total como root.
Cifras que dan que pensar
El exploit público de prueba de concepto de Nebula Security alcanza
root desde un proceso sin privilegios en unos cinco segundos, con
un 97% de fiabilidad. Se ha reproducido el disparo del fallo en
Debian 11/12/13, EL7 y EL10 — no es teórico, funciona de verdad y de
forma consistente. Google recompensó el hallazgo con 92.337 dólares a
través de su programa kernelCTF.
No es solo un problema de servidores físicos: también rompe contenedores
Aquí está el matiz que más debería preocupar a cualquiera que gestione
infraestructura de contenedores o virtualización: los contenedores
comparten el kernel del host. Namespaces, cgroups, seccomp, AppArmor
o SELinux pueden reducir la explotabilidad, pero no cambian el hecho
de que el código del kernel es compartido — una escalada de privilegios
alcanzable desde dentro de un contenedor puede convertirse en un escape
completo del contenedor si el endurecimiento del entorno no detiene la
cadena. En un servidor multiusuario o multi-tenant, esto es el peor
escenario posible: un sitio comprometido, una cuenta de shell de poca
confianza, o un plugin hackeado puede escalar a control total de la
máquina y de cualquier otro cliente que comparta ese mismo servidor.
La cadena completa: de un clic en un enlace a control total
GhostLock no vive solo — es la segunda mitad de una cadena que Nebula
llama IonStack. La primera mitad, CVE-2026-10702, es un fallo de
Firefox (ya corregido en la versión 151.0.3) que permite ejecutar
código dentro del navegador. GhostLock lleva esa ejecución inicial el
resto del camino hasta root. Nebula ya ha demostrado la cadena completa,
desde un solo toque en un enlace malicioso hasta control total, contra
Firefox en Android.
Estado del parche
El fallo ya está corregido en el kernel mainline (commit 3bfdc63936dd,
Linux 7.1) — la misma versión que cubrimos hace poco en este sitio.
AlmaLinux, CloudLinux y otras distros ya han publicado kernels
parcheados en sus repositorios de producción. Si gestionas Proxmox VE
(que corre sobre un kernel basado en Debian), conviene comprobar que
tu sistema ya recibió el parche vía KernelCare o la actualización
estándar de tu distro base.
No hay mitigación práctica real más allá de actualizar el kernel —
activar RANDOMIZE_KSTACK_OFFSET reduce la probabilidad de éxito del
exploit a aproximadamente 1 entre 64, pero no sustituye al parche.
