Una grave vulnerabilidad, conocida como Bad Epoll (CVE-2026-46242), afecta al núcleo de Linux. Permite a un usuario local obtener acceso de administrador sin privilegios previos. Esta vulnerabilidad afecta a servidores, estaciones de trabajo y dispositivos Android por igual.
Bad Epoll explota una vulnerabilidad de uso de memoria liberada en el mecanismo epoll, ampliamente utilizado en Linux y Android para gestionar eventos de archivos y de red. El problema fue descubierto por el investigador Jaeyoung Chung y revela una vulnerabilidad crítica que debe abordarse con suma seriedad.
Analicemos cómo funciona esta vulnerabilidad, los motivos de su discreción y las soluciones ya disponibles.
Bad Epoll: una vulnerabilidad de condición de carrera en el kernel de Linux.
Epoll, abreviatura de «event poll» (sondeo de eventos), se utiliza para monitorizar numerosos archivos o conexiones simultáneamente, un componente crucial para la estabilidad de muchos servicios. Deshabilitarlo equivale a provocar un fallo grave del sistema, una solución que conviene evitar si se valora la seguridad del mismo.
El problema principal radica en una situación de uso de memoria liberada causada por una condición de carrera. En concreto, una estructura de memoria se libera mientras otra operación continúa utilizándola. Esto provoca una pequeña corrupción inicial, pero puede agravarse al comprometer la gestión de memoria de Linux.
El lapso de tiempo en el que se produce esta situación es extremadamente corto, apenas seis instrucciones de máquina. Sin embargo, la proeza ideada por Chung sortea este obstáculo multiplicando los intentos sin que el sistema colapse, con una tasa de éxito de aproximadamente el 99%.
Una vulnerabilidad que pasa desapercibida para herramientas sofisticadas.
La vulnerabilidad Bad Epoll se introdujo en una gran parte del código de Epoll en 2023, mediante una modificación que involucraba dos condiciones de carrera. El modelo de IA Mythos de Anthropic detectó una de ellas, identificada como CVE-2026-43074, pero no detectó esta.
Dos hipótesis explican esta ausencia: su ventana temporal muy corta, difícil de modelar, y el hecho de que no activa la detección KASAN, el principal mecanismo de protección de memoria del kernel. Esto convierte a Bad Epoll en una amenaza realmente difícil de detectar.
Resulta interesante observar que Mythos logró identificar un tipo de vulnerabilidad similar, pero no percibió que la vulnerabilidad gemela sería mucho más crítica.
Impacto generalizado: Bad Epoll afecta tanto a Linux como a Android.
Otro aspecto alarmante: la vulnerabilidad puede activarse incluso desde un proceso aislado como el renderizador de Chrome. Esto significa que si se ejecuta código dentro de este renderizador, es posible escalar privilegios a root, rompiendo así el entorno aislado.
Bad Epoll es una de las pocas vulnerabilidades del kernel de Linux que también afectan a Android. La mayoría de las escaladas de privilegios del kernel no llegan a este ecosistema, lo que hace que esta falla sea aún más crítica.
De las aproximadamente cien vulnerabilidades detectadas a través del programa kernelCTF, solo unas diez son explotables en Android, y Bad Epoll es una de ellas.
Un error económico que debe corregirse rápidamente en los núcleos recientes.
El error Epoll afecta a los kernels a partir de la versión 6.4. Por lo tanto, las distribuciones y los dispositivos que ejecutan el kernel 6.1 o inferior no se ven afectados. Esta es una buena noticia para algunos teléfonos Android antiguos que aún no se han actualizado.
La solución se encuentra en un parche disponible con la referencia a6dc643c6931. Debian 13, por ejemplo, ofrece el parche a través de su kernel 6.12.95-1. Para protegerse, es imprescindible aplicar esta actualización o consultar con sus proveedores habituales si los parches se han implementado.
Cabe señalar que deshabilitar epoll no es una opción realista, ya que esto afectaría a la mayoría de los servicios dependientes en Linux y Android.
Una vulnerabilidad que aún no ha sido explotada en la naturaleza.
Hasta la fecha, no se han reportado casos de explotación activa. El fallo no figura en la lista de vulnerabilidades explotadas activamente de CISA. El único exploit conocido sigue siendo una prueba de concepto presentada en kernelCTF.
La ausencia de un ataque masivo no debería bajar la guardia; todo lo contrario. Para un administrador de Linux, es como un motor averiado que no se ha lubricado correctamente: el problema está latente, pero la avería puede ser repentina.
También se recomienda estar al tanto de los comunicados de seguridad relacionados con CVE-2026-46242 y mantener los sistemas actualizados periódicamente.