CISA añadió vulnerabilidades del kernel de Linux y de VMware ESX de Broadcom a su catálogo de Vulnerabilidades Explotadas Conocidas el 28 de octubre de 2026, al citar pruebas de explotación activa. Las fallas tienen propósitos distintos: el problema de Linux puede permitir a un atacante local obtener privilegios de root, mientras que el fallo de VMware permite a quien ya tiene privilegios de administrador realizar ciertas operaciones sin que esas acciones aparezcan en los registros.
El anuncio de la agencia los identifica como CVE-2026-46300, una vulnerabilidad de inicialización ausente en el kernel de Linux, y CVE-2026-41709, una vulnerabilidad de registro insuficiente en VMware ESX.
Requisitos previos y consecuencias diferentes
CVE-2026-46300, también conocida como Fragnesia, afecta al subsistema XFRM ESP-in-TCP del kernel de Linux. Según Security Affairs, que cita un análisis técnico de Wiz, un atacante local sin privilegios puede modificar el contenido de archivos de solo lectura en la caché de páginas del kernel, es decir, en la memoria que almacena datos de archivos en caché, y usar esa corrupción para obtener privilegios de root.
El informe atribuye a William Bowling, del equipo de seguridad de V12, el descubrimiento de la vulnerabilidad. Describe la explotación como determinista, sin requerir condiciones de carrera ni ataques de temporización complejos. El requisito previo es el acceso local, y se trata de un fallo de escalada de privilegios.
En el caso de CVE-2026-41709, el atacante debe tener ya privilegios de administrador. Security Affairs señala que la debilidad en el registro puede ocultar operaciones específicas, lo que reduce las pruebas disponibles para los defensores que investigan actividad sospechosa. Por sí misma, no proporciona acceso de administrador.
Security Affairs también cita el informe 2026 Legal Threat Landscape de CrowdStrike, según el cual el actor vinculado a China Warp Panda explotó la vulnerabilidad de VMware como día cero a principios de 2026 para reducir la visibilidad en los registros de auditoría. Esa explotación es anterior a la inclusión en el catálogo de octubre.
El artículo indica puntuaciones CVSS de 7,6 para el fallo de VMware y de 2,7 para el de Linux. Estas puntuaciones de gravedad son independientes de la constatación de la CISA de que ambas vulnerabilidades han sido explotadas activamente.
Corrección y requisitos federales
Security Affairs informa de que Broadcom publicó parches para CVE-2026-41709 en julio. Indica como plazos de corrección para las agencias del Poder Ejecutivo Civil Federal el 11 de noviembre de 2026 para el fallo de VMware y el 31 de octubre de 2026 para el fallo de Linux.
El anuncio de la CISA identifica la BOD 26-04 como la directiva de gestión de vulnerabilidades aplicable. Exige a las agencias incluidas que den prioridad a la corrección rápida de vulnerabilidades KEV de alto riesgo en activos expuestos públicamente que otorgan control total tras su explotación, y establece expectativas para comprobar si los sistemas fueron comprometidos antes de aplicar parches.
Estos requisitos federales se aplican a las agencias incluidas. Por separado, la CISA alienta a todas las organizaciones a priorizar las vulnerabilidades KEV mediante una gestión de vulnerabilidades basada en riesgos.
