Un ingeniero de SpaceX ha utilizado inteligencia artificial para detectar un fallo de 19 años en el kernel de Linux que permite a un atacante local escalar privilegios hasta root en una decena de distribuciones, entre ellas CentOS, Rocky Linux y Kali. El investigador, Asim Manizada, no repasó líneas de código de forma manual: construyó un marco de IA que genera grafos semánticos de objetos del kernel y los recorre para localizar incoherencias entre lo que crea un componente y lo que asume un consumidor privilegiado.
La cadena de explotación: cinco pasos lógicos sin corrupción de memoria
La vulnerabilidad reside en la interacción entre el módulo CIFS del kernel (el antiguo protocolo de compartición de archivos en red, hoy conocido como SMB) y el helper userspace cifs.upcall. Cuando un cliente CIFS monta un recurso compartido con autenticación Kerberos, el kernel solicita una clave de tipo cifs.spnego y un proceso con privilegios de root, cifs.upcall, obtiene el material de autenticación. El problema, explica Manizada, es que nada impide que un usuario sin privilegios realice una petición similar con campos manipulados. La descripción falsa puede incluir un PID controlado por el atacante y el campo upcall_target=app, que ordena al helper saltar al espacio de nombres del proceso antes de continuar.
Ese salto, con privilegios de root aún activos, es el punto de inflexión. Antes de desprenderse de los privilegios, cifs.upcall ejecuta una llamada a getpwuid() para resolver la cuenta objetivo. Esa llamada pasa por el Name Service Switch (NSS), que carga librerías compartidas según el archivo nsswitch.conf. En ese instante, el atacante puede cargar su propio módulo malicioso sin que el sistema detecte manipulación de memoria.
El exploit público, que ya circula por GitHub, culmina con la escritura de un archivo en /etc/sudoers.d que otorga acceso total de superusuario sin contraseña. Todo en cinco pasos, todos fallos lógicos, ninguno de corrupción de memoria. La cadena se basa en una confianza ciega del kernel en la descripción de la clave, una característica que llevaba presente desde 2007.
El descubrimiento asistido por IA: un cambio de paradigma
Lo notable de CIFSwitch no es solo la edad de la brecha, sino el método. Manizada no la encontró leyendo código. Diseñó un motor de IA que mapea consumidores privilegiados del kernel, los objetos en los que confían y los puntos donde esos objetos pueden ser corrompidos desde usuarios sin privilegios. El sistema razonó sobre el grafo y detectó que las descripciones de las claves cifs.spnego eran elaboradas por usuarios comunes pero consumidas por un helper que actuaba como root. El resultado fue una cadena de explotación con prueba de concepto funcional, obtenida en una fracción del tiempo que habría requerido un auditor humano.
Le adelanto que esta no es la primera vez que la IA se usa para cazar vulnerabilidades. Microsoft anunció su Security Copilot para análisis de código, y Google reveló hace meses una brecha en una biblioteca de compresión usando aprendizaje automático. Pero el nivel de sofisticación del marco de SpaceX —que combina análisis semántico y recorrido de grafos— eleva la apuesta. Como escribí en El quinto elemento, «el próximo 11S empezará con un clic». Herramientas como esta acercan ese clic.
El exploit no necesita corromper memoria: solo explota una confianza lógica que el kernel ha mantenido durante casi dos décadas.
La comunidad de seguridad ha visto pasar una serie de vulnerabilidades de escalada de privilegios en Linux con nombres como Copy Fail, Dirty Frag o Fragnesia. Pero CIFSwitch destaca por la elegancia de su cadena y la intersección de fallos en usuariospace y kernel, un tipo de fallo difícil de detectar con fuzzers tradicionales. El investigador señaló en su informe que «el kernel no rechaza las descripciones no confiables de usuarios, tratándolas como si vinieran de CIFS».
La solución definitiva es un parche en el kernel que añade un hook .vet_description en la definición del tipo de clave cifs.spnego. Ese parche aterrizó en el trunk de Linux más de una semana antes de la publicación del hallazgo. Sin embargo, las distribuciones empaquetan las actualizaciones a ritmos distintos. Mientras Ubuntu 26.04 y Fedora 40-44 bloquean la explotación en sus configuraciones por defecto, sistemas con CentOS Stream 9 o Rocky Linux 9 siguen expuestos si no se aplica la corrección. La vía más rápida de mitigación pasa por eliminar cifs-utils o deshabilitar los módulos del kernel CIFS si no se utilizan recursos de red compartidos. La automatización del descubrimiento de vulnerabilidades mediante IA está recortando la ventana de parcheo a niveles que los equipos de respuesta de incidentes no han asimilado.
Dossier Moncloa: Ojos en la Sombra
El modus operandi de esta vulnerabilidad plantea un vector de amenaza que interesa directamente a las agencias de inteligencia. Estamos ante un ciberataque de escalada de privilegios que no requiere explotar corrupción de memoria, sino manipular la lógica de interacción entre componentes del kernel y utilidades del sistema. Un atacante con acceso a una cuenta sin privilegios puede tomar el control completo del servidor. Si ese servidor aloja bases de datos de una entidad crítica —una eléctrica, un puerto, un ministerio—, el acceso root equivale a tener las llaves del sistema.
En materia de atribución, no hay evidencias de que este fallo haya sido explotado por un APT concreto antes del parche. Pero el patrón es familiar: los grupos Sandworm (GRU), APT29 (SVR) y Volt Typhoon (China) han mostrado un interés recurrente por vulnerabilidades lógicas en sistemas Linux que puedan abrir brechas en infraestructuras energéticas y gubernamentales europeas. La Agencia de Seguridad Nacional estadounidense alertó el año pasado sobre el uso de técnicas similares por parte de actores estatales.
Quién defiende: el kernel de Linux incluye el parche, pero las distribuciones se actualizan a velocidades desiguales. El CCN-CERT, el centro criptológico de la inteligencia española, emitió una nota la semana pasada instando a las administraciones públicas a revisar la presencia de cifs-utils en sus sistemas Linux expuestos. En España, muchas pymes y ayuntamientos mantienen servidores desactualizados; un solo exploit de este tipo podría comprometer décadas de expedientes municipales o sistemas de control de tráfico.
El precedente me lleva a Shellshock, la vulnerabilidad de Bash que en 2014 aterró a los administradores de sistemas. Shellshock estuvo más de veinte años sin detectar, explotada masivamente en servidores web. CIFSwitch comparte la longevidad y la ausencia de corrupción de memoria. Desde el punto de vista del oficio, el descubrimiento por IA supone un salto cualitativo: si los analistas de inteligencia adversarios replican esta metodología, el tiempo medio de descubrimiento de brechas similares podría reducirse de años a semanas. Fuentes de la Casa de Castelló me confirman que el CNI ya evalúa marcos de análisis semántico para reforzar la seguridad de los sistemas críticos españoles.
La lectura confidencial es otra: «Alguien tenía que decir que el rey Google va desnudo», escribí en Desnudando a Google. Hoy podríamos decir lo mismo de la confianza ciega en el kernel. Si a eso le sumamos un adversario con capacidad de automatizar la búsqueda de fallos lógicos mediante IA, el escenario cambia. Honestamente, veo improbable que los grandes servicios de inteligencia no estén ya incorporando herramientas similares. Lo que me preocupa, y mucho, es la velocidad con la que el oficio del espía se adapta a este nuevo escalón.
Le adelanto que el verdadero peligro no está en el exploit de ayer, sino en la palanca que esta metodología da a los servicios hostiles: escanear decenas de miles de repositorios en busca de patrones de confianza similares, automatizando la fase de reconocimiento de futuras operaciones ofensivas. Cierro con una reflexión: el próximo gran ataque contra una infraestructura española no empezará con un phishing, sino con una IA encontrando una brecha de lógica de hace 20 años que nadie ha mirado.
