CISA mete una vulnerabilidad del kernel Linux en KEV con plazo federal el 31 de octubre
CVE-2026-46300 entra en el catálogo de explotación conocida; CISA confirma una posible cadena con PHP2Shell y fija una fecha límite federal inmediata.
CISA incorporó CVE-2026-46300 al catálogo Known Exploited Vulnerabilities (KEV) el 28 de octubre y dio a las agencias federales de Estados Unidos hasta el 31 para aplicar la corrección según sus instrucciones. La entrada describe una vulnerabilidad del kernel Linux que puede permitir a un usuario local modificar datos respaldados por la caché de páginas; CISA también dice que puede encadenarse con dos fallos de PHP para llegar a ejecutar órdenes como root.
-InfraCrew dice: cuando el regulador pone fecha y el fabricante lleva meses con el parche, el cuello de botella suele ser el inventario de kernels, no la compilación del comunicado.-
El marcador que se pierde en el camino
El defecto está en skb_try_coalesce(), una rutina que combina fragmentos de paquetes en estructuras internas del kernel. Si el búfer de origen contiene fragmentos compartidos, la función puede transferirlos sin conservar la marca que indica que esas páginas no deben modificarse en el sitio. Después, una ruta de entrada de ESP (Encapsulating Security Payload) puede interpretar que los datos son privados y descifrarlos directamente sobre páginas de caché compartidas, con capacidad de alterar contenido que el sistema esperaba tratar como protegido.
El escenario inicial es local y requiere privilegios de usuario: NVD asigna 7,8 en CVSS 3.1 y marca el vector como acceso local con privilegios bajos. No es por sí solo una vulnerabilidad remota sin autenticación. El cambio de prioridad viene del contexto de explotación: CISA ha incluido el CVE en KEV y su descripción vincula el fallo con CVE-2026-109618 y CVE-2026-109619 de PHP, que pueden proporcionar el paso web previo antes de la elevación.
-InfraCrew dice: el camino a root aquí no empieza necesariamente en el kernel; el valor está en cómo un fallo local puede cerrar una cadena que ya tiene entrada web.-
Qué significa estar en el catálogo
La inclusión en KEV confirma que CISA considera que existe explotación conocida, pero la ficha no identifica campañas, víctimas ni volumen. Tampoco convierte la fecha del 31 de octubre en una obligación para todas las empresas: es el plazo de remediación para agencias civiles federales. Para el resto, sí es una señal concreta de que no conviene dejar el parche en la cola rutinaria, especialmente en servidores que ejecuten aplicaciones PHP expuestas.
La corrección upstream llegó a varias ramas estables con versiones distintas: entre ellas 5.10.257, 5.15.208, 6.1.174, 6.6.141, 6.12.91, 6.18.33 y 7.0.10. Esos números no son una matriz universal de exposición. Las distribuciones mantienen ramas propias y suelen integrar correcciones mediante paquetes con versiones distintas; hay que consultar el aviso del proveedor de cada sistema y no declarar vulnerable un host solo porque su versión visible sea más antigua que la última estable upstream.
Prioridad práctica para plataformas Linux
El primer trabajo es localizar las máquinas que ejecuten kernels afectados y comprobar el estado del paquete de seguridad de su distribución, incluidos los nodos que sostienen servicios PHP. La referencia a PHP2Shell en CISA es una cadena posible confirmada en la descripción oficial, no una afirmación de que cada servidor Linux o cada aplicación PHP esté comprometida.
En la misma actualización del catálogo, CISA añadió otro CVE de VMware ESX, distinto y con su propia corrección. No se arregla al actualizar Linux ni el kernel de una máquina virtual; los equipos que operan ambos planos deben seguir la matriz del proveedor correspondiente y no mezclar sus tareas de cambio.
-InfraCrew dice: un clúster suele tener más de una forma de arrancar el mismo kernel; comprueba también imágenes inmutables y nodos que llevan semanas esperando el siguiente drenaje.-
El mantenimiento debe respetar la política de cada distribución y el ciclo de reinicio previsto para sus nodos. Tras instalar el paquete corregido, verifica que el kernel activo sea el esperado y que los workloads sensibles —en particular servicios PHP expuestos y componentes de red que usen ESP— vuelvan a operar. El catálogo eleva la prioridad; el inventario y la validación del despliegue siguen siendo trabajo local.
Diccionario de la Crew
KEV — Catálogo de CISA para vulnerabilidades con evidencia de explotación conocida.
skb — Estructura interna del kernel Linux que representa un búfer de red.
ESP — Encapsulating Security Payload, protocolo de IPsec que protege paquetes de red.
CVSS — Sistema de puntuación técnica de severidad; no describe por sí solo la exposición de una instalación concreta.
