No dia de onte foi feita pública unha vulnerabilidade crítica que afecta praticamente todas as distribucións Linux, e que permite a calquera usuario adquirir privilexios de administrador. O site que fixo o anuncio publicou tamén o exploit que permite comprobar facilmente como, con escreber só un comando de unha liña, un usuario corrente pode facerse en segundos co control completo do sistema. Nós mesmos vimos de facer a proba:
A vulnerabilidade foi comunicada ao equipo encargado da seguranza do kernel de Linux hai un mes, pero en moitas distribucións aínda non foi lanzada unha actualización que a corrixa. Mentres isto acontece, recoméndase que en entornos vulnerábeis se desabilite o módulo algif_aead.
Quen está en perigo?
Para explotar a vulnerabilidade é necesario estar logueado no sistema con calquera tipo de usuario. Nesas circunstancias, corren un perigo considerábel:
- Equipos linux compartidos ou aos que teñen acceso múltiples usuarios que non deberían ter permisos de administración (escenario habitual en escolas, institucións, empresas…).
- Servidores aos que teñan acceso remoto usuarios que non deban ter permisos de administración.
- Equipos que non teñan o disco duro cifrado e ao que podan ter acceso físico persoas distintas ao seu dono (que, iniciando a máquina desde outro sistema operativo, consigan por exemplo crear un usuario propio co que poder loguearse)
A vulnerabilidade CVE-2026-31431 foi achada en cuestión de unha hora por un modelo de IA. Debemos tomar conciencia de que a capacidade destes modelos de linguaxe para analisar código e encontrar fallos en el vai facer moito mais habitual e perigosa a aparición de vulnerabilidades que poñan en risco os nosos equipos, polo que manter os sistemas actualizados (e manterse ao tanto das novidades que surxan neste campo) emerxe como a política de seguridade mais importante.
Mais…Linux continúa a ser seguro?
En poucas palabras: mais que calquera outro sistema operativo. Porque ningún está a salvo deste tipo de vulnerabilidades (que continuamente se están descobrindo tamén en Windows e iOS), mais o código aberto permite que elas sexan rapidamente publicadas, abordadas e correxidas.
Non existen sistemas inexpugnábeis: a seguranza non reside en non ter fallos, mais en coñecer e correxir os fallos que se teñen. O fundamental é que as persoas e os sistemas vulnerábeis sexan conscientes dos perigos aos que están expostos, para que podan facer frente a eles. A vulnerabilidade anunciada onte xá está sendo parcheada, mais debemos ser conscientes (e situacións así axúdannos a selo) de que os sistemas informáticos son ecosistemas incríbelmente complexos sobre os que haberá constantemente problemas de seguranza. Por iso, a primeira liña de defensa non é técnica, senon cultural: as persoas e organizacións que traballan con datos sensíbeis deben implementar políticas e dinámicas de traballo que contribúan á seguridade dixital. Entre elas, hoxe resultan imprescindíbeis:
- Actualizar sistematicamente todos os equipos e servidores.
- Ter unha política de accesos e de credenciais robustas e rigorosas: sempre contrasinais fortes e non compartidos, autenticación por clave criptográfica cando sexa posíbel, eliminación de contas obsoletas, restricción de acceso a quen non necesita telo (ainda que sexa o xerente da empresa!)…
- Cifrar os discos duros dos computadores aos que podan ter acceso físico terceiras persoas.