El desarrollador de Bitcoin Core y Lightning Network Matt Corallo llamó la atención sobre una grave vulnerabilidad del kernel de Linux el 30 de octubre, criticando la respuesta tardía de Ubuntu ante lo que él llamó "la vulnerabilidad de Linux más crítica de la historia". El bug, identificado como CVE-2026-98432, afecta el código de handshake TCP IPv4 del kernel y tiene una puntuación de severidad CVSS de 9.8, lo que lo sitúa en la banda crítica del Common Vulnerability Scoring System, cuya escala llega como máximo a 10. El Frontier Red Team de Anthropic demostró posteriormente que puede convertirse en un exploit de root remoto contra sistemas que exponen una escucha de Multipath TCP (MPTCP), una función de red del kernel que permite que una única conexión TCP se ejecute simultáneamente sobre múltiples rutas de red.

Peter Todd hizo eco de la advertencia el mismo día, instando a cualquiera que ejecutara LND en Linux con puertos abiertos a apagar sus nodos de Bitcoin Lightning hasta que el kernel fuera parcheado o mitigado de otra manera. La ruta de exploit demostrada depende de una escucha MPTCP, algo que Go 1.24 y versiones posteriores habilitan de forma predeterminada, un valor predeterminado a nivel de lenguaje que se extiende por todo el ecosistema de Go en lugar de ser específico del software de Bitcoin. Debido a que LND está escrito en Go, las versiones recientes estaban escuchando con MPTCP en sus puertos peer, gRPC y REST siempre que el kernel tuviera la función habilitada.

Lightning Labs respondió el mismo día con lanzamientos de emergencia: lnd v0.21.6-beta y un backport, v0.20.7-beta. Ambos deshabilitan las escuchas MPTCP de forma predeterminada, cerrando la ruta de exploit demostrada a través de LND, según las notas de la versión del proyecto. El cambio se caracterizó como una mitigación en lugar de una corrección, y el proyecto señaló que solo un kernel parcheado resuelve por completo el problema subyacente. Otros servicios en la misma máquina permanecen expuestos hasta que MPTCP se deshabilite en todo el host o el kernel se actualice. Olaoluwa Osuntokun y la cuenta oficial de Lightning Labs recomendaron ambos instalar la actualización.

El investigador de seguridad Marcus Hutchins reportó posteriormente actividad de escaneo a escala de internet consistente con actores de amenazas que buscaban sistemas expuestos. Sus escaneos identificaron alrededor de 2.1 millones de servidores alcanzables a través de MPTCP en el puerto 443, el puerto estándar para el tráfico HTTPS. International Cyber Digest amplificó el hallazgo el 4 de noviembre, destacando tanto la actividad de escaneo como el cronograma de parches más lento de Ubuntu.

Canonical desde entonces ha puesto kernels corregidos a disposición en la bolsa proposed opcional, el área de pruebas de Ubuntu donde los paquetes reciben pruebas antes de un lanzamiento más amplio, para Ubuntu 22.04, 24.04 y 26.04, aunque aún no han llegado al canal de actualizaciones regular. Red Hat publicó correcciones para RHEL 8, 9 y 10 el 1 de noviembre, mientras que Debian, Amazon Linux y otras distribuciones ya habían publicado parches anteriormente.

UmbrelOS 2.0.1 incluyó la corrección del kernel el 1 de noviembre para dispositivos x86 y aplicó una mitigación de bloqueo de tráfico en Raspberry Pi, donde aún no estaba disponible un kernel corregido. No se ha reportado ninguna explotación confirmada en la práctica, y la vulnerabilidad no ha sido agregada al catálogo de Vulnerabilidades Explotadas Conocidas de CISA. La demostración de root remoto de Anthropic sigue sin publicarse.

La exposición práctica es mayor en los servidores orientados a internet. Los sistemas de escritorio domésticos detrás de NAT y firewalls típicos, sin escuchas TCP públicas, son mucho menos afectados. Para los operadores de Lightning en Linux, las nuevas versiones de LND eliminan la ruta específica de escucha MPTCP utilizada por el exploit público, pero el bug más amplio del kernel persiste hasta que se instale un kernel parcheado. Los indicadores restantes a observar son la promoción por parte de Ubuntu de los kernels corregidos de la bolsa proposed al canal de actualizaciones regular, la publicación de la demostración de root remoto de Anthropic, y si la falla se agrega al catálogo de Vulnerabilidades Explotadas Conocidas de CISA.

Este artículo apareció por primera vez en Bitcoin Magazine y está escrito por Juan Galt.