GhostLock, CVE-2026-43499, permite que un usuario local sin privilegios pueda escalar hasta obtener permisos de root y, en pruebas realizadas, escapar de contenedores en la mayoría de las distribuciones Linux. Un exploit funcional ya circula en la red y la aplicación del parche requiere especial atención porque las primeras versiones corregidas presentaron un problema adicional de estabilidad.
Esta vulnerabilidad ha generado preocupación entre administradores y equipos de seguridad por una característica inusual: el fallo está presente en el kernel de Linux desde 2011 y afecta a gran parte del ecosistema de forma generalizada. La situación resulta particularmente delicada en servidores compartidos y plataformas con contenedores, ya que la debilidad permite que un usuario local sin privilegios obtenga permisos de root y, en los entornos evaluados, rompa el aislamiento del contenedor.
El problema se encuentra en la lógica de rtmutex, específicamente en la función remove_waiter(). Cuando el kernel gestiona la reversión de un proxy lock a través de futex_requeue(), puede dejar referencias inconsistentes que generan punteros colgantes y provocan un uso después de liberación. Este tipo de falla, cuando se encadena correctamente, convierte un acceso local limitado en control total del sistema.
El riesgo operacional se ha incrementado significativamente porque Nebula Security publicó código de explotación funcional con una fiabilidad reportada del 97% en sus pruebas. Aunque no hay constancia pública de explotación activa en campañas reales, la disponibilidad del exploit reduce considerablemente el tiempo de respuesta: bastan credenciales de baja confianza, un usuario en una máquina multiusuario o un proceso dentro de un contenedor para que el incidente pase de molesto a crítico.
El parche principal llegó en abril de 2026, pero el proceso no ha sido lineal. Se recomendó evitar la primera compilación que incorporó la corrección inicial, ya que apareció un problema adicional de estabilidad identificado como CVE-2026-53166 que podía provocar caídas del sistema. En la práctica, esto significa que no basta con aplicar una actualización: es necesario verificar la versión exacta del paquete y confirmar que incluye la corrección final y no una versión intermedia.
Respecto a la clasificación de severidad, Ubuntu la designa como High con una puntuación CVSS 3.1 de 7.8, una valoración coherente con un fallo de escalada local que además puede facilitar escape de contenedores. La recomendación es actualizar a un kernel corregido, revisar los avisos de cada distribución, priorizar nodos con ejecutores de CI, clusters con alta rotación de cargas y cualquier host multiinquilino, y mantener activas mitigaciones de compilación como RANDOMIZE_KSTACK_OFFSET y STATIC_USERMODE_HELPER cuando estén disponibles. Estas medidas ayudan a dificultar la explotación, pero no sustituyen la aplicación del parche.
Con Información de unaaldia.hispasec.com
