El desarrollador de Bitcoin Core y Lightning Matt Corallo señaló una grave vulnerabilidad del kernel de Linux el 30 de octubre. Registrada como CVE-2026-98432, la falla afecta al código de negociación TCP sobre IPv4 del kernel y tiene una puntuación CVSS de 9,8. El Frontier red Team de Anthropic demostró un exploit de acceso remoto como root contra sistemas con un escucha Multipath TCP (MPTCP) expuesto.

La vía del exploit es relevante para LND porque Go 1.24 y versiones posteriores habilitan por defecto los escuchas MPTCP cuando el kernel admite esta función. Por lo tanto, las versiones recientes de LND podían escuchar conexiones de pares, gRPC y REST mediante MPTCP. Peter Todd advirtió a los usuarios de Linux que ejecutan LND con puertos abiertos que apagaran sus nodos hasta haber aplicado un parche o mitigado el problema de otra manera.

Lightning Labs publicó lnd v0.21.6-beta y la versión retroportada v0.20.7-beta el 30 de octubre. Ambas desactivan por defecto los escuchas MPTCP y bloquean la vía específica demostrada en el exploit. El proyecto describió el cambio como una mitigación, no como una solución: la vulnerabilidad subyacente requiere una actualización del kernel, y otros servicios de la misma máquina podrían seguir expuestos a menos que se desactive MPTCP en todo el sistema o se aplique un parche al kernel.

Más tarde, el investigador de seguridad Marcus Hutchins informó de actividad de escaneo compatible con intentos de encontrar sistemas expuestos. Sus escaneos identificaron aproximadamente 2,1 millones de servidores accesibles mediante MPTCP en el puerto 443. No se había informado de ningún caso confirmado de explotación en la práctica, y la vulnerabilidad no se había añadido al catálogo de Vulnerabilidades Explotadas Conocidas de CISA. La demostración de acceso remoto como root de Anthropic sigue sin publicarse.

Canonical ha puesto a disposición kernels corregidos en el repositorio propuesto de habilitación voluntaria para Ubuntu 22.04, 24.04 y 26.04, pero aún no habían llegado al canal habitual de actualizaciones. Red Hat publicó correcciones para RHEL 8, 9 y 10 el 1 de noviembre; Debian, Amazon Linux y otras distribuciones habían publicado parches antes. UmbrelOS 2.0.1 también incluyó la corrección del kernel para dispositivos x86, mientras que los dispositivos Raspberry Pi recibieron una mitigación que bloquea el tráfico porque todavía no había un kernel corregido disponible.

Los servidores expuestos a Internet son los que corren mayor riesgo. Los equipos domésticos detrás de NAT y cortafuegos habituales, sin escuchas TCP públicos, se ven menos afectados. Para los operadores de Lightning en Linux, las versiones de LND cierran la vía MPTCP demostrada, pero sigue siendo necesario instalar un kernel parcheado para abordar la falla más amplia.

Fuentes: Bitcoin Magazine.