La actualización de seguridad de Bitcoin Lightning cierra una puerta. Un fallo crítico de Linux permanece

Los operadores de Bitcoin Lightning que ejecutan un kernel de Linux afectado y sin parches siguen expuestos a una vulnerabilidad crítica tras actualizar LND, el software utilizado para operar sus nodos de pago.

Las versiones del 30 de octubre, v0.20.7-beta y v0.21.6-beta, desactivan los oyentes de Multipath TCP, o MPTCP, por defecto. Esto cierra la ruta demostrada CVE-2026-98432 a través de esos oyentes. Sin embargo, el fallo del kernel permanece y no cubre otros servicios en la misma máquina.

Otro servicio MPTCP expuesto en la misma máquina sin parches puede preservar la ruta demostrada, incluso después de que los oyentes por defecto de LND hayan cambiado.

Por qué la actualización de LND tiene límites

El fallo implica el uso de memoria liberada durante el manejo de conexiones TCP IPv4 en Linux y puede permitir a un atacante ejecutar código en un host afectado. Ubuntu le asigna una puntuación crítica de CVSS 3.1 de 9.8.

Las notas del operador de LND indican que Go 1.24 y versiones posteriores habilitaron oyentes MPTCP por defecto en Linux, lo que LND 0.21.x expuso en sus puertos de pares, gRPC y REST. Estos incluyen las conexiones del nodo a otros nodos y sus interfaces de aplicación.

El aviso del equipo de seguridad de Go explica por qué ese cambio no puede completar la tarea. La explotación demostrada requiere un oyente MPTCP expuesto, pero el fallo del kernel es más amplio. Ataques similares contra sistemas sin oyentes MPTCP pueden ser posibles; el aviso no establece una explotación no MPTCP demostrada.

Go también advierte que deshabilitar MPTCP un programa a la vez es frágil. Un único oyente expuesto restante deja al sistema vulnerable a esa ruta, y la configuración de socket explícita puede anular la configuración predeterminada de Go.

Los avisos describen una explotación demostrada de Linux, no evidencia de que los atacantes hayan utilizado este fallo contra nodos LND o robado Bitcoin.

CryptoSlate cubrió anteriormente las implicaciones de la misma CVE para los validadores de Solana. Las correcciones del canal Core Lightning y del comando remoto reportadas el 6 de noviembre conciernen a fallos de aplicación separados.

El rastreador de Ubuntu, revisado el 9 de noviembre y actualizado por última vez el 7 de noviembre, aún etiquetaba el paquete estándar linux para Ubuntu 24.04 LTS como vulnerable, con trabajo en progreso en 6.8.0-149.149. Su entrada para Ubuntu 22.04 LTS tenía el mismo estado para 5.15.0-203.213.

La disponibilidad de parches varía según el paquete. En su aviso del 2 de noviembre, Canonical dijo que las correcciones del kernel para esta CVE estaban disponibles en el repositorio -proposed para los usuarios que ejecutan sus propias pruebas de aceptación del kernel, mientras que las pruebas de calificación continuaban.

El boletín de trabajo en progreso de Ubuntu para el 1 al 7 de noviembre también dijo que algunas versiones, incluida la 24.04, habían avanzado a -updates. Esa nota más amplia no identifica cada variante de kernel. Por lo tanto, los operadores necesitan verificar la actualización disponible para su paquete de kernel exacto en lugar de inferir la disponibilidad solo por el nombre de la versión de Ubuntu.

El rastreador ilustra la distinción: lista el paquete estándar de Ubuntu 26.10 linux como corregido en 7.3.0-10.10, mientras que las variantes de kernel de nube, habilitación de hardware y otras tienen entradas separadas. Un estado corregido para un paquete no puede resolver el estado de otro.

La protección aún requiere trabajo en el host

Los mantenedores de LND recomiendan actualizar la aplicación, deshabilitar MPTCP en el host e instalar un kernel parcheado tan pronto como la distribución lo haga disponible.

LND cierra una ruta. El kernel aún necesita reparación.

La actualización de LND cambia la aplicación. Reparar el kernel compartido de Linux requiere una actualización separada del host.
UN HOST, DOS CAPAS DE MANTENIMIENTO
Lanzamiento de la aplicación LND
Otros servicios
Aplicaciones separadas
Kernel compartido de Linux
LND
Otros servicios
Kernel compartido de Linux

Configuraciones acumulativas del host

Configuraciones acumulativas de host LND actualizado MPTCP desactivado Núcleo parcheado en ejecución
Configuración ilustrativa: los oyentes MPTCP predeterminados de LND están desactivados, pero otro servicio aún expone uno en un host no parcheado.
Tráfico MPTCP entrante LND Predeterminado MPTCP desactivado Otro servicio MPTCP expuesto NÚCLEO LINUX COMPARTIDO La falla del núcleo permanece El núcleo del host aún no está parcheado
Tráfico MPTCP entrante LND Predeterminado MPTCP desactivado Otro servicio MPTCP expuesto NÚCLEO LINUX COMPARTIDO La falla del núcleo permanece El núcleo del host aún no está parcheado Un oyente adicional preserva la ruta.
Con MPTCP desactivado en los espacios de nombres de red relevantes, la ruta demostrada está cerrada. La falla subyacente del núcleo permanece.
Tráfico MPTCP entrante LND Predeterminado MPTCP desactivado Otro servicio MPTCP desactivado NÚCLEO LINUX COMPARTIDO La falla del núcleo permanece El núcleo del host aún no está parcheado
Tráfico MPTCP entrante LND Predeterminado MPTCP desactivado Otro servicio MPTCP desactivado NÚCLEO LINUX COMPARTIDO La falla del núcleo permanece El núcleo del host aún no está parcheado La mitigación de MPTCP deja el error en su lugar.
Después de instalar y arrancar un núcleo parcheado, esta falla del núcleo se repara. El diagrama conserva la mitigación de MPTCP anterior.
Tráfico MPTCP entrante LND Predeterminado MPTCP desactivado Otro servicio MPTCP desactivado NÚCLEO LINUX COMPARTIDO Esta falla del núcleo reparada El núcleo parcheado está en ejecución
Tráfico MPTCP entrante LND Predeterminado MPTCP desactivado Otro servicio MPTCP desactivado NÚCLEO LINUX COMPARTIDO Esta falla del núcleo reparada El núcleo parcheado está en ejecución La reparación se aplica a esta falla del núcleo.

Actualiza LND, aborda otros oyentes MPTCP y espacios de nombres de red, luego instala y arranca un núcleo parcheado.

Configuraciones ilustrativas, no pruebas de un nodo en vivo o un registro de ataques. Desactivar MPTCP cubre solo la ruta demostrada; el error es más amplio. El estado desactivado asume que los espacios de nombres de red relevantes están cubiertos. Otras vulnerabilidades están fuera del alcance.
Fuentes y evidencia

Fuentes

1. Lanzamiento de seguridad de LND v0.20.7
2. Lanzamiento de seguridad de LND v0.21.6
3. Guía de operador de LND y Docker
4. Aviso del equipo de seguridad de Go
5. Guía de actualización del núcleo de Canonical y reinicio

Hechos de apoyo

• LND v0.20.7-beta y v0.21.6-beta, lanzados el 30 de octubre, desactivan los oyentes MPTCP de forma predeterminada para cerrar la ruta de explotación CVE-2026-98432 demostrada a través de LND; no reparan el núcleo de Linux. [1] [2]
• El equipo de seguridad de Go dice que la explotación demostrada requiere un oyente MPTCP expuesto, pero el error subyacente no es específico de MPTCP y pueden ser posibles ataques similares contra sistemas sin tales oyentes. [4]
• El equipo de seguridad de Go advierte que desactivar MPTCP programa por programa es frágil: un oyente MPTCP expuesto restante deja al host vulnerable a la ruta demostrada, y las elecciones por socket pueden anular el valor predeterminado de GODEBUG. [4]
• Una actualización de LND no protege otros servicios en la misma máquina; los mantenedores de LND aconsejan desactivar MPTCP en el host e instalar un núcleo parcheado tan pronto como la distribución envíe uno. [2] [3]
• La guía de LND utiliza sudo sysctl -w net.mptcp.enabled=0 y una configuración sysctl persistente para desactivar MPTCP en el host; la configuración es por espacio de nombres de red, por lo que las implementaciones de Docker requieren atención a espacios de nombres separados. [3]
• Canonical aconseja verificar el núcleo en ejecución con uname -r; después de instalar las actualizaciones de seguridad del núcleo de Linux, se requiere un reinicio. [5]

Método

Esquema de configuraciones acumulativas de operadores utilizando el comportamiento documentado de LND y Go. Las rutas muestran la ruta MPTCP demostrada, no transferencias de Bitcoin o tráfico medido. El estado final requiere instalar un núcleo parcheado y reiniciar en él.

Alcance

Configuraciones ilustrativas, no pruebas de un nodo en vivo o un registro de ataques. Desactivar MPTCP cubre solo la ruta demostrada; el error es más amplio. El estado desactivado asume que los espacios de nombres de red relevantes están cubiertos. Otras vulnerabilidades están fuera del alcance.
Infografía por CryptoSlate

Su guía utiliza sudo sysctl -w net.mptcp.enabled=0 para la configuración del host, con una configuración persistente para mantenerla. La configuración se aplica por espacio de nombres de red, por lo que las implementaciones de Docker necesitan atención separada a la configuración de red del contenedor. Cambiar solo el host no es un sustituto para verificar ese alcance.

Los operadores que no pueden actualizar LND de inmediato pueden iniciar su binario existente con GODEBUG=multipathtcp=0 para deshabilitar los oyentes MPTCP predeterminados de Go. Los mantenedores advierten contra volver a habilitar ese predeterminado antes de parchear el núcleo.

Canonical aconseja verificar el núcleo que realmente se está ejecutando con uname -r. Después de instalar su actualización de seguridad del núcleo, se requiere un reinicio. Un binario LND actualizado y un paquete de núcleo instalado son hitos diferentes; completar la reparación del sistema operativo requiere ejecutar el núcleo parcheado.

Este contenido se ofrece únicamente con fines informativos generales y no constituye un asesoramiento financiero, de inversión, legal ni fiscal. Cualquier evento, recompensa, promoción en línea o información relacionada que se mencione en el presente documento no debe considerarse como una recomendación, solicitud o invitación a comprar, vender, operar o de negociar de otra manera con cualquier criptoactivo. Los criptoactivos son sumamente volátiles y pueden provocar pérdidas. La disponibilidad de los servicios, productos y eventos relacionados de WEEX puede variar según la región. Tienes la responsabilidad de asegurarte de que tu participación esté de acuerdo con las leyes y regulaciones locales vigentes.