Rootkit fileless en Linux: CVE-2026-46331 que el antivirus no ve

CVE-2026-46331 es una vulnerabilidad crítica (CVSS 9.1) en el subsistema eBPF del kernel Linux —versiones 5.15 a 6.8— que permite cargar código malicioso directamente en memoria del kernel sin escribir ningún fichero a disco. Los antivirus tradicionales no lo detectan porque escanean el sistema de ficheros: una amenaza que nunca toca el disco es, para ellos, completamente invisible. Tu empresa puede estar comprometida ahora mismo sin que tu solución de seguridad lo sepa.

El mecanismo técnico que los fabricantes de antivirus no explican en sus fichas de producto

CVE-2026-46331 explota un fallo de escritura fuera de límites (OOB write) en el verificador de programas eBPF del kernel Linux. Un atacante con acceso local y privilegios CAP_BPF o root inyecta un programa eBPF malicioso mediante la syscall bpf() que elude el proceso de verificación del kernel y se ejecuta directamente en contexto de anillo 0. El código malicioso se hookeará en kprobes y tracepoints del kernel, interceptando syscalls críticas como execve, open y connect sin dejar rastro en /proc ni en el sistema de ficheros. La persistencia no reside en ningún archivo en disco: mientras el kernel esté corriendo, el rootkit está activo y operativo. Para ocultarse de cualquier herramienta de auditoría, el rootkit manipula directamente las estructuras task_struct en RAM, eliminándose de la lista de procesos visible para ps, top, lsof o cualquier HIDS basado en /proc. El resultado es un rootkit completamente funcional que vive exclusivamente en memoria —muere limpiamente con cada reinicio, pero un atacante sofisticado lo combina con un mecanismo de persistencia legítimo que lo recarga automáticamente tras cada arranque.

Un antivirus tradicional, independientemente de su reputación comercial, opera sobre un principio fundamental: analizar objetos en el sistema de ficheros. Comprueba hashes de ejecutables, analiza firmas de código en disco e intercepta operaciones de escritura para detectar comportamiento malicioso. Cuando el malware no pasa por el sistema de ficheros en ningún momento, ese paradigma de detección queda completamente invalidado. CVE-2026-46331 nunca crea un fichero ELF, un script de shell ni siquiera un fichero temporal: el payload viaja directamente desde la memoria del proceso atacante hasta el kernel vía syscall bpf(). La mayoría de los motores AV de gama media no tienen capacidad de instrumentar las llamadas al sistema del kernel en tiempo real ni de analizar la memoria del kernel, porque hacerlo requeriría ejecutarse con privilegios de anillo 0 —creando una superficie de ataque inaceptable para cualquier fabricante responsable. Incluso los agentes EDR de gama alta que sí monitorizan syscalls pueden ser eludidos si sus reglas de detección no contemplan específicamente el abuso del verificador eBPF, un mecanismo que hasta 2026 era considerado un control de seguridad del propio kernel, no un vector de ataque.

La cadena de ataque de CVE-2026-46331 paso a paso

• Acceso inicial: el atacante obtiene ejecución local con CAP_BPF o root mediante phishing dirigido, credenciales comprometidas o un CVE previo de escalada de privilegios
• Carga del payload: se ejecuta bpf(BPF_PROG_LOAD) con un programa eBPF malicioso que explota el OOB write en el verificador; el kernel acepta la carga sin rechazo ni log visible
• Hooking de syscalls: el rootkit se engancha en kprobes de execve, connect y read/write para interceptar actividad del sistema sin escribir nada a disco ni crear procesos hijo detectables
• Ocultación activa: manipulación directa de estructuras task_struct en memoria para eliminarse de /proc/[pid] y de cualquier herramienta de auditoría basada en el pseudosistema de ficheros /proc
• Exfiltración encubierta: uso de BPF maps como canal lateral para extraer credenciales, tokens y tráfico descifrado sin crear conexiones de red visibles en netstat, ss o tcpdump
• Persistencia opcional: un cron job o systemd unit con nombre legítimo recarga el exploit tras cada reinicio, combinando el vector fileless con un foothold mínimo en disco inferior a 2 KB

La distinción entre antivirus y EDR es real, pero frecuentemente mal vendida por distribuidores y resellers. Un EDR moderno —CrowdStrike Falcon, SentinelOne o Microsoft Defender for Endpoint— sí monitoriza comportamiento en tiempo real: llamadas a sistema, conexiones de red, creación de procesos. Pero la detección de rootkits eBPF requiere capacidades muy específicas: análisis de integridad de la tabla de system calls, detección de hooks en kprobes no autorizados, y comparación de estructuras de memoria del kernel contra un baseline conocido. En nuestra experiencia auditando infraestructuras Linux en clientes del sector industrial y tecnológico, los EDR bien configurados generan alertas ante la carga de módulos del kernel no firmados (LKM), pero no necesariamente ante programas eBPF maliciosos que se cargan con privilegios legítimos de root y explotan el verificador. En los primeros días de CVE-2026-46331, todos los fabricantes de EDR estaban en estado de análisis: sin reglas de detección publicadas, sin IOCs disponibles, sin nada que ofrecer a sus clientes más allá de "estamos trabajando en ello". Eso significa que durante la ventana de exposición inicial —que para muchas empresas españolas dura semanas, no días— incluso un stack de seguridad de 40.000 euros anuales puede ser completamente ineficaz ante esta amenaza específica.

En los últimos 10 proyectos de auditoría de seguridad Linux que hemos completado, la pregunta no era si el antivirus instalado podía detectar un rootkit en memoria. La pregunta real era si el cliente sabía que su herramienta tenía ese límite estructural. En el 80% de los casos, no lo sabían. Y en algunos, tampoco lo sabía el proveedor de IT que les había vendido la solución. A veces lo más útil que podemos decir en una auditoría es que no necesitan comprar más herramientas: necesitan entender exactamente qué cubre lo que ya tienen y qué queda fuera. Eso es lo que hacemos en Blurtek antes de recomendar nada.

Detectar CVE-2026-46331 y amenazas similares requiere un enfoque en capas que va más allá del AV tradicional y, en muchos casos, más allá de un EDR sin configuración específica para este vector. El primer nivel es la restricción de privilegios: si ningún proceso no autorizado puede ejecutar bpf() con capacidades elevadas, el vector de explotación simplemente no existe. Esto se consigue endureciendo la política de Linux capabilities y desplegando perfiles seccomp o AppArmor que restrinjan las syscalls disponibles por servicio. El segundo nivel es la detección en tiempo de ejecución: herramientas como Falco monitorizan las llamadas al sistema del kernel y pueden detectar patrones de uso anómalo de bpf() —por ejemplo, carga de programas eBPF desde procesos que no deberían ejecutar esa syscall. El tercer nivel, frecuentemente ignorado en entornos PYME por su complejidad operativa, es el análisis de memoria volátil: Volatility o AVML pueden capturar y analizar el estado de la RAM para identificar estructuras de kernel modificadas, hooks no registrados o procesos ocultos que no aparecen en /proc. Estos tres niveles combinados —restricción, detección y forense— constituyen la defensa real contra este tipo de amenaza; ninguno de ellos viene activado por defecto en una instalación estándar.

• Restringir CAP_BPF y CAP_NET_ADMIN exclusivamente a procesos que los necesiten con políticas de Linux capabilities
• Desplegar Falco con reglas específicas para carga de programas eBPF no autorizados (regla spawned_process + syscall bpf)
• Configurar perfiles seccomp-bpf para restringir bpf() en contenedores y servicios de aplicación
• Establecer un baseline de integridad del kernel con AIDE o verificación periódica de la tabla de system calls
• Integrar monitorización de memoria volátil (AVML + Volatility) en el proceso de respuesta ante incidentes
• Actualizar el kernel Linux a versión 6.9+ o aplicar el parche oficial de CVE-2026-46331 disponible desde el 15 de junio de 2026
• Validar explícitamente con tu proveedor de EDR que tiene reglas de detección activas para CVE-2026-46331 — no asumir que las tiene
• Auditar qué procesos tienen CAP_BPF en tus sistemas ahora mismo: getcap -r / 2>/dev/null | grep cap_bpf