SUSE corrige cuatro fallos del kernel con Live Patch 35 para SLE 15 SP5
El aviso SUSE-SU-2026:4746-1 corrige fallos en netfilter, KVM/SVM, iSCSI y libceph. Cubre líneas de SLE 15 SP5 y productos relacionados, además de openSUSE Leap 15.5; requiere una revisión compatible del kernel y no reemplaza las actualizaciones que necesitan reinicio.
SUSE publicó el 19 de octubre el aviso SUSE-SU-2026:4746-1, con calificación «importante», para corregir cuatro fallos en el kernel Linux Enterprise 5.14.21-150500.55.136. El paquete corresponde a Live Patch 35 para SUSE Linux Enterprise 15 SP5 y se distribuye como parche en caliente. La novedad interesa a equipos que mantienen cargas con ventanas de cambio estrechas, pero el número de versión del producto y el kernel en ejecución determinan si el paquete encaja.
El boletín enumera siete líneas afectadas: SUSE Linux Enterprise Server 15 SP5, su edición para SAP, HPC 15 SP5, Real Time 15 SP5, Live Patching 15-SP5, Micro 5.5 y openSUSE Leap 15.5. No es una actualización genérica para cualquier SLES ni para todas sus ramas actuales. El aviso asocia el contenido al kernel 5.14.21-150500.55.136; SUSE documenta que cada paquete de live patch está ligado a una revisión concreta del kernel.
Cuatro correcciones, cuatro áreas del kernel
| CVE | Área | Cambio descrito por SUSE |
|---|---|---|
| CVE-2026-53131 | netfilter | Comprueba que exista una cabecera MAC Ethernet antes de usar eth_hdr(). |
| CVE-2026-63794 | KVM/SVM | Corrige un desbordamiento de página en sev_dbg_crypt() por la ruta ENCRYPT. |
| CVE-2026-63887 | SCSI/iSCSI | Limita las escrituras de iscsi_encode_text_output() en el búfer de respuesta. |
| CVE-2026-68158 | libceph | Corrige un desbordamiento de multiplicación al decodificar el peso de un estado nuevo. |
La lista toca rutas de red, virtualización, almacenamiento iSCSI y Ceph, pero eso no significa que cada sistema use las cuatro funciones. La relevancia para cada host depende de su producto SUSE, kernel instalado y componentes en servicio; el aviso no atribuye estos fallos a una explotación activa ni publica una instrucción universal de respuesta de emergencia.
-InfraCrew dice: cuatro CVE en un parche y cuatro pruebas de regresión distintas; el inventario del clúster vuelve a tener trabajo.-
«En caliente» no quiere decir «sin reinicios nunca»
El Kernel Live Patching (KLP) aplica código corregido al kernel que ya está ejecutándose y evita reiniciar para ese cambio compatible. La guía de SUSE precisa que los paquetes son acumulativos y están atados a la revisión exacta del kernel; en SLES, además, hacen falta las suscripciones de SLES y Live Patching. Conviene comprobar la rama/build en ejecución y que el parche se haya cargado, en vez de tomar la etiqueta «Live Patch 35» como prueba suficiente.
La misma guía pone un límite importante: los live patches no sustituyen las actualizaciones normales del kernel, que incorporan correcciones de todo tipo y sí requieren reinicio. Algunas modificaciones tampoco se pueden adaptar al live patching —por ejemplo, ciertos cambios en estructuras de datos— y exigen reiniciar para aplicarse. Por eso estas correcciones reducen una ventana de mantenimiento concreta; no eliminan el ciclo de actualización del kernel ni autorizan a dejar pendientes sus reinicios.
-InfraCrew dice: el servidor puede seguir atendiendo peticiones; la deuda de reinicio también sabe esperar en una cola.-
Para desplegar el aviso, primero hay que identificar producto, revisión exacta del kernel y repositorio habilitado; SUSE recomienda YaST Online Update o zypper patch, con instrucciones específicas por producto. Tras aplicar el paquete, la guía permite revisar el estado del parche en el kernel activo con klp -v patches. En hosts con KVM/SVM, iSCSI o Ceph, una validación en el entorno de pruebas debe cubrir la función usada por el servicio antes de extender el cambio; un live patch evita reinicio, pero no elimina el riesgo de una regresión.
El dato operativo más útil no es que el aviso reúna cuatro CVE, sino que el equipo puede corregir el kernel compatible sin interrumpirlo y mantener la actualización regular planificada. SUSE califica el boletín como importante, pero no aporta en él evidencia de explotación activa. Trátalo como un parche disponible que requiere comprobar compatibilidad y alcance, no como una alerta de ataque confirmado ni como sustituto de la próxima actualización completa del kernel.
-InfraCrew dice: «sin reinicio» describe este paso; no convierte el calendario de mantenimiento en pieza de museo.-
Diccionario de la Crew
- Live Patch 35 — actualización acumulativa de SUSE para el live patch del kernel 5.14.21-150500.55.136 en SLE 15 SP5.
- Kernel Live Patching (KLP) — tecnología que reemplaza partes compatibles del código del kernel en ejecución para aplicar correcciones sin reiniciar.
- Revisión del kernel — versión y build concretos del kernel en ejecución, a los que debe corresponder el paquete de live patch.
