El Zero Day Initiative (ZDI) de Trend Micro, uno de los mayores programas de compra de vulnerabilidades del mundo, envió por error seis informes de fallos del kernel de Linux a las listas públicas de desarrolladores, con todos sus detalles técnicos, cuando todavía no había parche. Los dos más graves, con una puntuación CVSS de 9.0, permiten ejecutar código a distancia en ksmbd, el servidor de archivos SMB integrado en el propio kernel.
Cuando alguien encuentra un fallo de seguridad en Linux, lo normal es avisar en privado al equipo de seguridad del kernel (security@kernel.org), que prepara el parche con discreción. Solo cuando la corrección está publicada se cuentan los detalles. Ese orden da a todos tiempo para actualizar antes de que los atacantes sepan dónde mirar. El ZDI, que compra fallos a investigadores y los comunica a los fabricantes, sigue normalmente ese proceso y da 120 días antes de publicar nada.
Esta vez no fue así. La noche del 21 de octubre, sus informes llegaron a security@kernel.org, pero también, con copia, a la lista pública principal del kernel (LKML) y a las de los desarrolladores de SMB y de Samba. Cualquiera puede leer esas listas, y sus archivos quedan publicados en la web.
Claves de los fallos publicados
- Los dos críticos, en ksmbd: ksmbd es un servidor de archivos SMB, el protocolo de las carpetas compartidas de Windows, que funciona dentro del kernel. El primero (ZDI-CAN-33774) es una condición de carrera que puede llevar a ejecutar código a distancia, sin iniciar sesión, en servidores con un recurso compartido abierto a invitados. El segundo (ZDI-CAN-33549) está en SMB Direct, la versión de SMB para redes de alta velocidad, y exige hardware RDMA y un recurso compartido con permisos de escritura.
- Los otros cuatro: según Phoronix, tres permiten a un usuario que ya está en el sistema convertirse en administrador (en el código de red, en el controlador gráfico de VMware y en una consulta de red) y el cuarto filtra información en el código de almacenamiento NVMe por red (nvmet).
- Con todo lujo de detalles: los informes incluyen el análisis del fallo, el código afectado y los pasos para reproducirlo, que es justo lo que un atacante necesitaría para empezar.
- La respuesta del kernel: Greg Kroah-Hartman, el responsable de las versiones estables, contestó a cada informe. «Por alguna razón lo habéis enviado a listas públicas, y sin incluir un parche, así que no hay mucho que podamos hacer con esto», escribió en uno de ellos.
- El estado de los parches: según Phoronix, el 22 de octubre ninguno estaba corregido en la rama principal del kernel. El arreglo del fallo de SMB Direct ya estaba en una rama preparada para Linux 7.5 y se esperaba adelantarlo, y uno de los de escalada de privilegios ya lo había reportado otra persona la semana anterior.
Qué hacer mientras llega el parche:
- Comprueba si usas ksmbd: la mayoría de los servidores Linux comparten archivos con Samba, que funciona fuera del kernel y no está afectado por estos dos fallos. ksmbd solo funciona si se ha activado y configurado expresamente, con sus propias herramientas (ksmbd-tools).
- Si lo usas, desactiva los recursos compartidos para invitados, no expongas el puerto 445 a internet (nunca es buena idea) o, si puedes, para ksmbd hasta que tu distribución publique un kernel corregido.
- Atento a las actualizaciones del kernel de tu distribución en los próximos días, sobre todo si administras servidores o máquinas virtuales de VMware con varios usuarios.
Por qué el orden de la divulgación importa
Un fallo del que nadie sabe nada y un fallo publicado con instrucciones son dos riesgos muy distintos. El sistema de divulgación coordinada existe para que, cuando los detalles salen a la luz, el parche ya esté disponible. Aquí ocurrió lo contrario: los atacantes tienen la información y los administradores todavía no tienen la solución. Que ninguno de los fallos tenga aún un identificador CVE complica además seguirlos en las herramientas de seguridad.
La respuesta de Kroah-Hartman resume lo que el equipo del kernel pide a quien encuentra un fallo: que lo comunique en privado y, si puede, con un parche propuesto, para que la corrección llegue cuanto antes. Hace unos días salió Linux 7.3; las correcciones de estos fallos llegarán en sus próximas versiones de mantenimiento.
Más fuentes: informes originales en el archivo de la lista del kernel, ZDI-CAN-33774 y ZDI-CAN-33549 (21 de octubre de 2026), y respuesta de Greg Kroah-Hartman (22 de octubre). Portada: Tux, de Larry Ewing y The GIMP.
Fuente: Phoronix, 22 de octubre de 2026