CVE-2026-46242 Bad Epoll: escalada de privilegios en Linux 6.4

CVE-2026-46242, conocida como Bad Epoll, es una vulnerabilidad de escalada local de privilegios (LPE) en el subsistema epoll del kernel Linux 6.4 a 6.9.x. Permite que un atacante con ejecución de código en un proceso sandboxed —el renderer de Chrome o una app Android con permisos mínimos— obtenga acceso root completo al sistema. El parche oficial está disponible desde junio de 2026; los sistemas sin actualizar siguen expuestos hoy.

El mecanismo exacto: race condition en ep_remove_safe_wake_up()

epoll es la interfaz de I/O asíncrono más utilizada en el kernel Linux: la emplean nginx, Node.js, Chrome, Redis, PostgreSQL y prácticamente cualquier servidor de alto rendimiento. Lleva más de 20 años en el kernel sin cambios estructurales significativos, lo que hace que la mayoría de equipos de seguridad la cataloguen como infraestructura de plomería que no necesita revisión activa —ese punto ciego es exactamente lo que explotó Bad Epoll. La vulnerabilidad reside en una condición de carrera muy específica: un hilo llama a epoll_wait mientras otro cierra concurrentemente el descriptor de fichero monitorizado; en kernels 6.4 a 6.9.x, la función ep_remove_safe_wake_up() no adquiere el lock correcto antes de decrementar el refcount del epoll item, dejando un dangling pointer en la lista de eventos activos. Ese puntero se redirige mediante heap spray sobre el slab allocator del kernel para apuntar a estructuras controladas por el atacante, lo que permite sobreescribir las estructuras cred del proceso y elevar el UID a 0. El PoC público lanzado en GitHub el 28 de junio de 2026 completa la escalada en menos de 3 segundos con una fiabilidad del 95% en x86-64, sin requerir ningún privilegio previo más allá de poder abrir descriptores de fichero.

Lo que convierte a CVE-2026-46242 en una amenaza especialmente relevante para entornos corporativos es que Chrome es uno de los vectores de entrada más plausibles. El modelo de seguridad de Chrome aísla cada pestaña en un proceso renderer con un sandbox Linux que combina seccomp-BPF y user namespaces; ese proceso tiene acceso muy restringido al sistema, pero puede crear y cerrar descriptores de fichero y llamar a epoll, que son exactamente las primitivas que Bad Epoll necesita. Si un atacante consigue ejecución de código en el renderer —posible mediante una vulnerabilidad en el motor V8, que genera varios CVEs críticos al año— puede encadenar Bad Epoll para saltar del sandbox al kernel y obtener root sin CVE adicional. Este tipo de cadena 'sandbox escape + kernel LPE' es el patrón de ataque más buscado por grupos APT porque no requiere interacción adicional del usuario una vez activa la primera etapa. En entornos corporativos con empleados navegando en Chrome sobre Ubuntu, Fedora o Debian con kernels 6.4-6.9, el vector es completamente realista, no teórico. El riesgo se extiende también a contenedores: si el host Linux corre un kernel vulnerable, todos los contenedores Docker sobre él comparten la exposición independientemente del aislamiento de aplicación.

El ciclo de parches OEM: por qué los móviles corporativos son el riesgo real

Android usa un kernel Linux modificado, y los dispositivos modernos de gama media-alta corren kernels derivados de las versiones 6.1 a 6.6 del upstream. Google confirmó que dispositivos Pixel con kernel 6.6 son vulnerables a CVE-2026-46242 y publicó el parche en el Android Security Bulletin de julio de 2026. El problema no es Google: es que el 70% de los dispositivos Android en el mercado no son Pixel, y los fabricantes OEM —Samsung, Xiaomi, OPPO— tienen ciclos de parche que históricamente acumulan entre 3 y 8 meses de retraso respecto al upstream. En la práctica, muchos dispositivos Android corporativos que gestionan correo empresarial, acceso VPN y apps de productividad no recibirán el parche de Bad Epoll hasta finales de 2026 en el mejor de los casos. Este es el dato que los análisis técnicos pasan por alto: los servidores pueden parchear en horas, pero los dispositivos móviles corporativos conectados a la red interna por MDM son un vector persistente que permanece expuesto durante meses sin acción activa del equipo IT. Una app maliciosa instalada vía sideload, o una app corporativa comprometida mediante dependencias de terceros, tiene exactamente las primitivas necesarias para explotar esta vulnerabilidad sobre un dispositivo Android sin parchar.

• Google Pixel (kernel 6.6+): parche publicado en Android Security Bulletin julio 2026
• Samsung Galaxy serie S/A (kernels 5.10-6.1): estimado agosto 2026 según cadencia histórica
• Xiaomi, OPPO, OnePlus gama media: sin fecha confirmada; historial de 4-6 meses de retraso
• Dispositivos sin soporte activo (+3-4 años): sin parche previsto — segmentar red o sustituir
• Linux de servidor (Ubuntu 22.04/24.04, Debian 12, RHEL 9): parches en repositorios desde el 30 de junio de 2026

El impacto real para una PYME española depende de dos variables: si dispone de servidores Linux propios o en cloud (VMs en AWS, Azure, OVH) y si sus empleados usan dispositivos Android corporativos con acceso a la red interna. Para los servidores, la respuesta es directa: el parche existe en los repositorios de todas las distribuciones principales y se aplica con reinicio en menos de 15 minutos y apenas 2 minutos de downtime real. Para los dispositivos móviles, la respuesta requiere más matices: si la empresa ya tiene MDM (Microsoft Intune, Scalefusion, SOTI), el primer paso es auditar qué dispositivos tienen parche de seguridad Android anterior a julio de 2026 y aislarlos de redes sensibles hasta que actualicen. Si no hay MDM, esta vulnerabilidad es un argumento concreto para implementarlo: el coste de Intune básico ronda los 3-8€ por dispositivo al mes, y la visibilidad sobre el estado de parches y el acceso condicional a la red interna justifican por sí solos esa inversión. Lo que definitivamente no tiene sentido para la mayoría de PYMEs es contratar un servicio de threat hunting avanzado solo por este CVE: parchear resuelve el problema en servidores, y para los móviles la mitigación práctica es la segmentación de red combinada con MDM.

• Ejecutar `uname -r` en todos los servidores Linux y workstations — identificar kernels 6.4.x-6.9.x
• Aplicar parche: `apt-get upgrade linux-image` (Ubuntu/Debian) o `dnf update kernel` (RHEL/Fedora)
• Reiniciar con el nuevo kernel y verificar versión actualizada con `uname -r`
• Para Docker: parchear el host elimina la exposición de todos los contenedores automáticamente
• Inventariar dispositivos Android corporativos — verificar nivel de parche de seguridad Android
• Aislar de redes internas los dispositivos con parche de seguridad anterior a julio de 2026
• Priorizar sustitución o segmentación permanente de dispositivos sin soporte activo del fabricante

En nuestra experiencia con empresas de 30 a 300 empleados, el parche del kernel siempre es la parte fácil. Lo que CVE-2026-46242 vuelve a revelar es que la mayoría de PYMEs no saben exactamente qué versiones de kernel corren sus servidores ni cuál es el nivel de parche de los móviles corporativos. El CVE pasa; ese gap de visibilidad se queda, y es lo que convierte el siguiente en incidente real.

Dicho sin ambigüedad: para CVE-2026-46242, la mayoría de PYMEs con un mantenimiento IT mínimamente ordenado no necesitan contratar nada nuevo. Un servidor Ubuntu bien configurado con unattended-upgrades habría aplicado el parche automáticamente días después de su publicación, sin intervención humana. El problema real aparece en tres situaciones concretas: empresas que congelan versiones de kernel por dependencias de software legado; empresas que asumen que la seguridad del proveedor cloud cubre también el kernel del sistema operativo invitado —cuando esa responsabilidad es íntegramente del cliente—; y empresas que no tienen ningún inventario de sistemas y literalmente no saben si tienen servidores vulnerables. Si alguna de esas situaciones describe tu empresa, resolverla de forma estructural —no solo aplicar este parche— es lo que previene el siguiente CVE y el siguiente incidente real. Cada vulnerabilidad crítica como Bad Epoll es una oportunidad de auditar los procesos de gestión de parches, no solo de tapar el agujero del mes.