Kernel Linux: GhostLock, Bad Epoll, Januscape y OVSwrap

Shared FAQ page chrome (breadcrumb, dates, read time, «Siga leyendo», enquiry block, category labels): see INDEX-AND-CHROME.md. Translate once.

Durante julio de 2026 se divulgaron varias vulnerabilidades graves del kernel Linux. Son especialmente relevantes para servidores de hosting, entornos multiusuario, plataformas de contenedores y hosts de virtualización KVM.

Las vulnerabilidades cubiertas en este aviso son:

• CVE-2026-43499: GhostLock
• CVE-2026-46242: Bad Epoll
• CVE-2026-53359: Januscape
• CVE-2026-64531: OVSwrap

Según el sistema operativo, la versión del kernel y los módulos habilitados, estas vulnerabilidades pueden permitir a un proceso sin privilegios obtener acceso root, escapar de un contenedor, escapar de una máquina virtual o hacer caer el host físico.

Aunque se trata principalmente de vulnerabilidades locales, siguen siendo muy relevantes para servidores de hosting expuestos a internet. Un atacante que comprometa un sitio web, un plugin, una instalación de CMS o una cuenta de cliente puede tener ya acceso local suficiente para atacar el kernel subyacente.

Resumen de las vulnerabilidades

Vulnerabilidad	Impacto principal	Sistemas más afectados
GhostLock: CVE-2026-43499	Escalada local a root y escape de contenedor	Servidores multiinquilino, multiusuario y de contenedores
Bad Epoll: CVE-2026-46242	Escalada local a root	Ramas de kernel más recientes de Enterprise Linux y Ubuntu
Januscape: CVE-2026-53359	Escape de invitado KVM al host y caída del host	Hipervisores KVM y servidores que exponen /dev/kvm
OVSwrap: CVE-2026-64531	Escalada local a root a través de Open vSwitch	Sistemas con un módulo de kernel Open vSwitch afectado

GhostLock: CVE-2026-43499

GhostLock es una vulnerabilidad de tipo use-after-free en el código de mutex en tiempo real y de herencia de prioridad de futex del kernel Linux.

Un proceso local sin privilegios puede explotarla para obtener privilegios de root. La misma vulnerabilidad puede usarse desde dentro de un contenedor para escapar y comprometer el host.

No se requieren capacidades especiales de Linux, y hay detalles públicos de explotación.

No existe una mitigación práctica basada en configuración. Se requiere un kernel parcheado o un livepatch verificado.

AlmaLinux, Rocky Linux y sistemas compatibles con RHEL

GhostLock afecta a las ramas de kernel soportadas de AlmaLinux 8, 9 y 10.

Los siguientes kernels de AlmaLinux incluyen la corrección:

Sistema operativo	Kernel mínimo parcheado
AlmaLinux 8	4.18.0-553.141.2.el8_10
AlmaLinux 9	5.14.0-687.24.1.el9_8
AlmaLinux 10	6.12.0-211.32.1.el10_2

Los administradores de Rocky Linux y RHEL deben instalar el kernel más reciente disponible en los repositorios de su propio proveedor, en lugar de instalar paquetes de otra distribución.

CloudLinux

GhostLock afecta a las ramas de kernel soportadas de CloudLinux.

Los administradores deben instalar el kernel de CloudLinux más reciente o confirmar que KernelCare ha aplicado un livepatch que cubre:

CVE-2026-43499

Compruebe la cobertura de KernelCare:

kcarectl --update
kcarectl --patch-info | grep CVE-2026-43499

Oracle Linux

Los sistemas Oracle Linux pueden ejecutar:

• Red Hat Compatible Kernel: RHCK
• Unbreakable Enterprise Kernel: UEK

Oracle ha publicado actualizaciones de seguridad para las ramas de kernel RHCK y UEK afectadas.

Identifique el kernel activo de Oracle Linux:

cat /etc/oracle-release
uname -r
rpm -q kernel kernel-core kernel-uek kernel-uek-core

Un kernel en ejecución que contenga uek es un Unbreakable Enterprise Kernel.

Instale el kernel más reciente del repositorio de Oracle Linux correspondiente y reinicie. Las versiones RHCK y UEK no deben compararse directamente, porque usan nombres de paquete y numeración de versiones distintos.

Ubuntu

Canonical califica GhostLock como vulnerabilidad de severidad alta.

A 5 de agosto de 2026, el estado del kernel estándar de Ubuntu incluye:

Versión de Ubuntu	Estado
Ubuntu 26.04 LTS	Corregido
Ubuntu 24.04 LTS	Corregido
Ubuntu 22.04 LTS	Actualización en curso
Ubuntu 20.04 LTS	Actualización en curso

Ubuntu ofrece varias variantes de kernel, incluidas generic, Hardware Enablement, optimizadas para cloud, low-latency, real-time y FIPS.

El estado puede diferir entre variantes. Los administradores deben comprobar el paquete exacto instalado en lugar de fiarse solo del número de versión de Ubuntu.

uname -r
dpkg -S /boot/vmlinuz-$(uname -r)

Instale todas las actualizaciones disponibles y reinicie:

apt update
apt full-upgrade -y
reboot

Donde Ubuntu Livepatch esté habilitado, confirme que este CVE concreto está cubierto:

canonical-livepatch refresh
canonical-livepatch status --verbose

Bad Epoll: CVE-2026-46242

Bad Epoll es una vulnerabilidad de condición de carrera y use-after-free en el subsistema de notificación de eventos epoll del kernel Linux.

Un proceso sin privilegios puede provocar la condición vulnerable y convertirla en acceso arbitrario a la memoria del kernel y ejecución con nivel root.

Este problema es especialmente relevante en servidores multiinquilino, porque epoll es una facilidad básica de Linux usada por servidores web, workers de PHP, bases de datos y muchos otros servicios.

No existe una mitigación práctica en tiempo de ejecución, porque epoll no puede desactivarse en un servidor Linux en funcionamiento. Se requiere un kernel parcheado o un livepatch verificado.

AlmaLinux

Bad Epoll afecta a:

• AlmaLinux 9
• AlmaLinux 10

AlmaLinux 8 no está afectado.

La corrección está incluida en:

Sistema operativo	Kernel mínimo parcheado
AlmaLinux 9	5.14.0-687.23.1.el9_8
AlmaLinux 10	6.12.0-211.31.1.el10_2

Los kernels más recientes parcheados para GhostLock incluyen también la corrección de Bad Epoll.

CloudLinux

Las plataformas CloudLinux afectadas son:

• CloudLinux 9
• CloudLinux 9 LTS
• CloudLinux 10

Las ramas de kernel de CloudLinux 7 y CloudLinux 8 no están afectadas por esta vulnerabilidad concreta.

Verifique la cobertura de KernelCare:

kcarectl --patch-info | grep CVE-2026-46242

Oracle Linux

Oracle ha publicado actualizaciones para Bad Epoll en las ramas de kernel RHCK o UEK afectadas de Oracle Linux 9 y 10.

Instale todas las actualizaciones actuales de Oracle Linux y confirme que el servidor arranca con el kernel RHCK o UEK actualizado.

Ubuntu

Canonical califica Bad Epoll como severidad alta.

El estado del kernel estándar de Ubuntu a 5 de agosto de 2026 incluye:

Versión de Ubuntu	Estado
Ubuntu 26.04 LTS	Corregido
Ubuntu 24.04 LTS	Actualización en curso
Ubuntu 22.04 LTS	No afectado
Ubuntu 20.04 LTS	No afectado

Las variantes especializadas del kernel de Ubuntu pueden tener un estado distinto.

Identifique el paquete exacto del kernel:

uname -r
dpkg -S /boot/vmlinuz-$(uname -r)

Instale todas las actualizaciones de Ubuntu disponibles actualmente:

apt update
apt full-upgrade -y

Reinicie donde se haya instalado una actualización del kernel:

reboot

Januscape: CVE-2026-53359

Januscape es una vulnerabilidad en el código de gestión de memoria KVM/x86 del kernel Linux.

Su vía de ataque más grave permite a una máquina virtual maliciosa escapar del invitado y ejecutar comandos como root en el host físico de virtualización.

La vulnerabilidad también puede permitir a un invitado malicioso hacer caer el kernel del host, afectando a todas las máquinas virtuales del servidor.

Januscape afecta a la virtualización x86 de Intel y AMD. Los servidores que normalmente no alojan máquinas virtuales pueden seguir expuestos si un proceso sin privilegios puede acceder a /dev/kvm.

Comprobar la exposición a KVM

lsmod | grep '^kvm'
ls -l /dev/kvm 2>/dev/null

AlmaLinux, CloudLinux y sistemas compatibles con RHEL

Januscape afecta a las ramas de kernel con KVM habilitado de AlmaLinux, CloudLinux y otros sistemas compatibles con RHEL.

Los kernels más recientes de AlmaLinux para GhostLock, listados antes, incluyen también la corrección de Januscape.

Los administradores deben instalar el kernel más reciente del proveedor y reiniciar.

Oracle Linux

Oracle ha publicado actualizaciones para Januscape en las ramas de kernel RHCK y UEK afectadas.

La corrección debe aplicarse en el host KVM físico. Actualizar solo los sistemas operativos invitados no protege al hipervisor.

Oracle Linux Virtualization Manager y otros hosts KVM deben actualizarse a través de los repositorios de Oracle Linux correspondientes.

Ubuntu

Canonical indica que Januscape afecta a Ubuntu en sistemas x86 de Intel y AMD donde la virtualización KVM anidada está habilitada.

Compruebe si la virtualización anidada está activa:

grep . /sys/module/kvm_{amd,intel}/parameters/nested 2>/dev/null

Un valor de 1 o Y indica que la virtualización anidada está habilitada.

Donde no se necesite la virtualización anidada, puede desactivarse temporalmente:

echo 'options kvm_amd nested=0' \
> /etc/modprobe.d/disable-kvm-nesting.conf

echo 'options kvm_intel nested=0' \
>> /etc/modprobe.d/disable-kvm-nesting.conf

Reinicie el servidor o recargue de forma segura el módulo KVM correspondiente.

Esta mitigación no sustituye a la actualización del kernel requerida.

Mitigación temporal para servidores sin virtualización

En un servidor que no use virtualización KVM, impida que se carguen los módulos específicos del hardware:

printf 'install kvm_intel /bin/false\ninstall kvm_amd /bin/false\n' \
> /etc/modprobe.d/disable-kvm.conf

No descargue ni bloquee los módulos KVM en un servidor que esté ejecutando máquinas virtuales.

OVSwrap: CVE-2026-64531

OVSwrap es una vulnerabilidad del kernel Linux en el código de validación de acciones de Open vSwitch.

Un proceso local sin privilegios puede explotar el módulo de kernel vulnerable para obtener acceso root.

No es necesario que Open vSwitch esté configurado ni en ejecución. El módulo vulnerable puede cargarse automáticamente cuando se hace una petición especialmente diseñada.

Hay un exploit público disponible.

Comprobar si Open vSwitch está disponible

find /lib/modules/$(uname -r) \
-type f -name 'openvswitch.ko*' 2>/dev/null

Compruebe si está cargado actualmente:

lsmod | grep '^openvswitch'

La vulnerabilidad está en el módulo del kernel. Comprobar solo si el paquete de espacio de usuario de Open vSwitch está instalado no es suficiente.

AlmaLinux, Rocky Linux, RHEL y CloudLinux

OVSwrap afecta a partes de las familias de kernel de Enterprise Linux 9 y 10.

Los servidores afectados deben instalar el kernel más reciente del proveedor o confirmar que se ha aplicado un livepatch de KernelCare aplicable.

kcarectl --patch-info | grep CVE-2026-64531

Oracle Linux

Los administradores de Oracle Linux deben comprobar si el módulo Open vSwitch está disponible en el kernel RHCK o UEK activo.

Instale todas las actualizaciones de seguridad del kernel de Oracle Linux actuales y aplique la mitigación temporal del módulo donde Open vSwitch no sea necesario.

Ubuntu

Los servidores Ubuntu deben tratarse como potencialmente expuestos cuando el kernel en ejecución contiene el módulo Open vSwitch y el paquete instalado no se ha confirmado como parcheado.

Identifique el paquete del kernel en ejecución:

uname -r
dpkg -S /boot/vmlinuz-$(uname -r)

Compruebe el módulo:

find /lib/modules/$(uname -r) \
-type f -name 'openvswitch.ko*' 2>/dev/null

Instale todas las actualizaciones de seguridad de Ubuntu disponibles actualmente.

Mitigación temporal para OVSwrap

En un servidor que no use Open vSwitch, impida que se cargue el módulo:

echo 'install openvswitch /bin/false' \
> /etc/modprobe.d/ovswrap.conf

Si el módulo ya está cargado y no está en uso:

modprobe -r openvswitch

En Ubuntu, reconstruya el sistema de archivos RAM inicial:

update-initramfs -u

En sistemas compatibles con RHEL y Oracle Linux:

dracut -f

No aplique esta mitigación en entornos de virtualización, redes o contenedores que dependan realmente de Open vSwitch.

Actualizar AlmaLinux, CloudLinux, Rocky Linux y sistemas compatibles con RHEL

Actualice y reinicie. Compruebe el kernel en ejecución con uname -r (y rpm -q kernel kernel-core kernel-uek en Oracle Linux, dpkg -S /boot/vmlinuz-$(uname -r) en Ubuntu); un livepatch solo cuenta si lista el CVE.

Actualizar Oracle Linux

Instale todas las actualizaciones de Oracle Linux disponibles:

dnf clean all
dnf update -y

Revise los kernels RHCK y UEK instalados:

rpm -q kernel kernel-core kernel-uek kernel-uek-core

Compruebe el kernel de arranque por defecto:

grubby --default-kernel

Reinicie y verifique:

reboot

uname -r

Actualizar Ubuntu

Identifique la versión de Ubuntu y el paquete del kernel en ejecución:

cat /etc/os-release
uname -r
dpkg -S /boot/vmlinuz-$(uname -r)

Instale todas las actualizaciones disponibles:

apt update
apt full-upgrade -y

Compruebe si hace falta reiniciar:

test -f /var/run/reboot-required \
&& cat /var/run/reboot-required

Reinicie y verifique:

reboot

uname -r

El estado de seguridad del kernel generic de Ubuntu no puede aplicarse automáticamente a las variantes Hardware Enablement, optimizadas para cloud, low-latency, real-time o FIPS.

Verificación posterior a la actualización

Tras aplicar las actualizaciones, verifique el sistema operativo y el kernel activo:

cat /etc/os-release
uname -r

Compruebe si siguen cargados módulos KVM u Open vSwitch:

lsmod | grep -E '^(kvm|openvswitch)'

En sistemas con KernelCare:

kcarectl --patch-info \
| grep -E \
'CVE-2026-43499|CVE-2026-46242|CVE-2026-53359|CVE-2026-64531'

En sistemas Ubuntu con Livepatch:

canonical-livepatch status --verbose

Recomendaciones de EuroVPS

EuroVPS recomienda a los administradores de servidores Linux de hosting y virtualización:

1. Verificar la cobertura de KernelCare o Ubuntu Livepatch individualmente para cada CVE.
2. Desactivar KVM o la virtualización anidada donde no se necesiten.
3. Bloquear el módulo Open vSwitch donde esté presente pero no se necesite.
4. Investigar los sitios web o cuentas de usuario comprometidos, ya que parchear el kernel no elimina un compromiso existente.

Los paneles de control como cPanel y Plesk no sustituyen al kernel del sistema operativo subyacente. Las actualizaciones del kernel deben seguir instalándose a través del proveedor del sistema operativo o de un proveedor de livepatch aprobado.

¿Necesita ayuda?

Si EuroVPS gestiona su servidor, abra un ticket: comprobamos la exposición, aplicamos las actualizaciones, coordinamos el reinicio y revisamos el servidor en busca de indicios de compromiso.