Esta semana se conoció la detección de vulnerabilidades críticas en el lenguaje de programación PHP y en certificados TLS/SSL. Ahora ha aparecido en internet información sobre varias vulnerabilidades en el núcleo de Linux para las que todavía no se habían publicado correcciones. Los informes sobre las vulnerabilidades se han publicado en el marco de la iniciativa Zero Day Initiative de la empresa Trend Micro y, probablemente, se hizo por error.
Fuente de la imagen: unsplash.com / Luca Bravo
Entre los problemas revelados, dos vulnerabilidades tienen una puntuación de 9,0 en la escala CVSS. Una de ellas afecta a la función SMB Direct, que se utiliza para mejorar el rendimiento en el intercambio de archivos mediante el protocolo SMB. La segunda afecta a la implementación del servidor de archivos en el núcleo de Linux. Ambas podrían ser aprovechadas por atacantes para ejecutar código de forma remota. Otros informes describen vulnerabilidades que permiten elevar el nivel de privilegios en un dispositivo local mediante código de red, así como vulnerabilidades que afectan al controlador gráfico de VMware, entre otras.
Las correcciones de las vulnerabilidades se están probando o preparando para integrarse en alguna futura actualización del núcleo de Linux, pero ninguna ha llegado todavía a la rama principal. El programador Greg Kroah-Hartman, encargado del mantenimiento del núcleo de Linux, ha expresado su desconcierto por la publicación pública de datos sobre vulnerabilidades cuyos parches aún no están listos. Por ahora no está claro si la divulgación de esta información fue realmente involuntaria.
La divulgación de información sobre las vulnerabilidades del núcleo de Linux ha seguido a la publicación de datos sobre certificados TLS/SSL comprometidos relacionados con la autoridad de certificación india eMudhra. Las claves privadas de ocho certificados intermedios quedaron comprometidas, lo que en potencia podría haberse utilizado para hacerse pasar por sitios legítimos e interceptar conexiones cifradas. Además, los desarrolladores del lenguaje de programación PHP publicaron ayer correcciones de emergencia para las vulnerabilidades críticas CVE-2026-109618 y CVE-2026-109619, de las que se supo anteriormente. Ambas recibieron una puntuación de 9,2 en la escala CVSS y podrían haberse utilizado para ejecutar código de forma remota en los servidores afectados sin autenticación previa.