¿Ubuntu, WTF?

Artículo original ↗ Discusión en Hacker News ↗

La lenta respuesta de Ubuntu ante una vulnerabilidad crítica del kernel de Linux (CVE‑2026‑98432, calificada con 9,8/10) ha sacudido la confianza en la promesa de Canonical de soporte de seguridad oportuno, incluso para clientes de pago de Ubuntu Pro. Los comentaristas señalan que distribuciones gestionadas por voluntarios como Debian, Arch, Alpine y Slackware publicaron kernels parcheados días antes, lo que empuja a muchos a considerar o iniciar migraciones a Debian, Rocky/Alma o NixOS para servidores y escritorios. El intercambio también expone preocupaciones más amplias sobre la cultura de Canonical, sus herramientas (Snaps, netplan) y sus prioridades, y destaca mitigaciones provisionales como reglas de firewall mientras se cuestiona si los usuarios de Linux empresarial pueden seguir confiando en Ubuntu para infraestructura crítica.

El manejo de Ubuntu de CVE-2026-98432

  • El hilo se centra en la frustración de que Ubuntu no haya publicado actualizaciones estables del kernel para una vulnerabilidad del kernel TCP/IP de alta puntuación semanas después de su divulgación, mientras que Debian y otras distros sí lo han hecho.
  • La propia página de CVE de Ubuntu la etiqueta como alta/crítica, pero durante mucho tiempo no indicó ninguna mitigación y mostró información de paquetes confusa/de baja calidad.
  • Muchos ven esto como una violación de las promesas de LTS/seguridad de Ubuntu, especialmente dado el Ubuntu Pro de pago de Canonical y el reciente marketing sobre “acelerar las correcciones de CVE”.
  • Un comentario posterior de Canonical dice que los kernels parcheados están en el canal -proposed para 22.04+ y que su ciclo SRU de 2 semanas requiere pruebas adicionales en muchos kernels; los críticos sostienen que esto es demasiado lento para un fallo de clase RCE de red.

Gravedad y explotabilidad del fallo

  • Anthropic afirma tener un exploit funcional que obtiene root mediante paquetes TCP especialmente elaborados; algunos equipos de seguridad y proveedores de nube lo tratan como lo bastante serio como para justificar reglas de emergencia.
  • Otros señalan que muchos avisos (por ejemplo, de proveedores) enfatizan bloqueos/DoS, no una ejecución remota de código claramente demostrada, y que una estimación EPSS es baja.
  • Hay desacuerdo: algunos argumentan que el pánico está exagerado sin un PoC público; otros dicen que la combinación de corrupción remota de memoria del kernel y la centralización de la infraestructura en la nube justifica la máxima urgencia.

Mitigaciones y soluciones provisionales

  • Se discutieron varias mitigaciones prácticas:
    • Reglas de firewall (iptables/nftables o Suricata) que descartan paquetes IPv4 con opciones IP configuradas.
    • Desactivar MPTCP se sugirió inicialmente, pero luego se dijo que era incompleto; el fallo trata sobre opciones IP, no estrictamente sobre MPTCP.
  • Algunos usuarios compilaron o aplicaron parches en vivo a sus propios kernels; otros tomaron kernels del canal -proposed de Ubuntu o de fuentes no Ubuntu (por ejemplo, Debian, Proxmox).

Ubuntu frente a Debian y otras distros

  • Muchos dicen que esto confirma una opinión de larga data: para servidores, Debian puro (o Rocky/Alma, Fedora, NixOS, Alpine, Slackware) es preferible a Ubuntu.
  • Argumentos a favor de Debian: respuesta de seguridad más rápida en este caso, empaquetado más simple/“más puro”, sin snaps, sin avisos de Pro, confianza a largo plazo.
  • Argumentos históricamente a favor de Ubuntu: mejor soporte para controladores propietarios, cadencia LTS predecible, imágenes de proveedor, peso en el ecosistema y soporte comercial; algunos aún defienden el historial general de Ubuntu y subrayan la carga de pruebas en muchos kernels.

Expectativas sobre software gratuito vs de pago

  • Un bando: “Obtienes lo que pagas; los usuarios gratis no deberían quejarse.”
  • El bando contrario: Canonical comercializa seguridad de nivel empresarial, cobra por Pro y aun así no entregó parches a tiempo ni siquiera a clientes de pago, así que la crítica está justificada.

Temas más amplios

  • Se citaron varias CVE recientes (brotli, PHP, KVM “PwnEscape”) como señales de que grandes proveedores, incluidos Ubuntu y RHEL, están teniendo dificultades para mantenerse al día.
  • Varios participantes dicen que este incidente es su punto de inflexión personal para migrar servidores de Ubuntu a Debian o clones de RHEL, a menudo ayudados por automatización y herramientas de IA.