Fallos RCE en KSMBD de Linux: análisis de exposición de Cyber Kendra

Las listas públicas de correo del kernel son donde se hace el trabajo de Linux. Tienen menos encanto cuando detalles sin corregir de ejecución remota de código entran con una credencial de visitante y preguntan quién es responsable de la exposición de SMB. Las divulgaciones de KSMBD son serias, pero la lección más útil es operativa: los equipos no pueden reducir el riesgo de un servicio que no saben que está en ejecución. En algún lugar, una hoja de cálculo de inventario de activos acaba de sentir una brisa fría.

Lo que Threat Landscape dice que realmente se hizo público

Según Threat Landscape Blog, la Zero Day Initiative de Trend Micro divulgó dos problemas críticos de ejecución remota de código en el servidor SMB KSMBD del kernel de Linux en listas públicas de correo del kernel el 21 y 22 de octubre de 2026. Los problemas se rastrean como ZDI-CAN-33774 y ZDI-CAN-33549, y Threat Landscape Blog informó que ambos tienen puntuaciones CVSS de 9.0. Esa puntuación no es una película de terror, pero sí suele entrar en la sala con iluminación dramática y una reunión de remediación muy específica adjunta.

Threat Landscape Blog también informó que, al 22 de octubre de 2026, ninguno de los problemas tenía una corrección en el kernel principal y no se habían asignado identificadores CVE. La misma fuente dijo que el proyecto del kernel asigna CVE solo después de que exista una corrección en la rama estable, que es el tipo de detalle de proceso que importa cuando los ejecutivos preguntan por qué no hay un número CVE ordenado para pegar en el ticket. A la gestión de vulnerabilidades le encantan los identificadores. La realidad a veces aparece antes de que se caliente la impresora de etiquetas.

Por qué Cybersecurity News dice que esta no es una historia sobre Samba

Cybersecurity News describe KSMBD como un servidor de archivos SMB opcional integrado en el kernel de Linux, separado de Samba. Esa distinción importa porque muchas organizaciones saben dónde está instalado, documentado y mantenido a regañadientes Samba, mientras que la configuración del kernel suele vivir en otro archivador mental. Si tu inventario de SMB solo significa Samba, puede que estés mirando la tubería equivocada mientras el techo gotea.

Threat Landscape Blog añade la cláusula tranquilizadora importante: KSMBD no está habilitado de forma predeterminada en distribuciones principales como Red Hat Enterprise Linux. Sin embargo, puede cargarse como módulo o integrarse en kernels personalizados, según la misma fuente. Traducción: esto no es motivo para entrar en pánico ante cada host Linux, pero sí es una muy buena razón para preguntar si dispositivos, sistemas de almacenamiento, compilaciones embebidas, kernels de laboratorio o imágenes personalizadas dependen silenciosamente de SMB dentro del kernel.

Lo que Threat Landscape dice sobre cómo se ve la exposición

Threat Landscape Blog informó que ZDI-CAN-33774 no requiere autenticación y afecta a servidores que ejecutan KSMBD en el puerto 445. Ese es el patrón de exposición que no les gusta a los defensores porque reduce el arco narrativo del actor de amenaza a un monólogo breve: encontrar un servicio accesible, enviar tráfico, esperar que el error se comporte. El control práctico no es glamuroso, que es como sabes que podría funcionar: saber dónde es accesible el puerto 445 y limitarlo a las redes que realmente lo necesitan.

La segunda falla, ZDI-CAN-33549, tiene una forma más estrecha. Threat Landscape Blog dijo que la explotación requiere una interfaz de red compatible con RDMA, ya sea hardware o el controlador de software rxe, además de un recurso compartido KSMBD con permisos de escritura y negociación de SMB Direct. Cybersecurity News informó de forma similar que el problema implica SMB Direct, que usa redes RDMA, por lo que la exposición depende de la configuración y de si esa función está en uso. En otras palabras, el radio de impacto no es cada máquina Linux, pero las máquinas dentro del alcance son exactamente las que merecen una verificación cuidadosa, aburrida y hermosa.

Lo que Cybersecurity News dice que enseña la divulgación

Cybersecurity News informó que el mantenedor del kernel de Linux Greg Kroah-Hartman cuestionó por qué algunos envíos llegaron a la lista pública sin parches. El medio también dijo que ZDI no había explicado públicamente el enrutamiento al 23 de octubre de 2026, por lo que seguía sin estar claro si esto fue un simple error. Esa incertidumbre no es combustible para chismes. Es un recordatorio de que los flujos de trabajo de divulgación forman parte del límite de seguridad, y a veces el límite tiene una invitación de calendario pero no una barandilla.

Para los defensores, el momento de la divulgación es la parte incómoda. Cuando los detalles técnicos llegan antes de una corrección en el kernel principal, el trabajo pasa de la gestión de parches a la gestión de exposición. Eso significa comprobar si KSMBD está presente, si está activo, si el puerto 445 es accesible, si existen recursos compartidos con permisos de escritura y si hay rutas SMB Direct o RDMA disponibles. Nada de eso es cinematográfico, pero tampoco lo es explicar después que nadie sabía que el kernel estaba sirviendo archivos.

Lo que realmente significa para ti

Según los informes de Threat Landscape Blog y Cybersecurity News, el primer paso es inventario, no pánico. Confirma si algún sistema Linux ejecuta KSMBD, especialmente donde existan kernels personalizados, módulos, cargas de trabajo de almacenamiento o despliegues tipo dispositivo. Luego reduce la accesibilidad alrededor del puerto 445, revisa los recursos compartidos KSMBD con permisos de escritura y presta especial atención a los entornos que usan SMB Direct o RDMA. Sigue atento a las correcciones en el kernel principal y a la asignación de CVE, porque la historia del parche sigue siendo la parte que todos quieren leer al final pero necesitan seguir primero.

La lección de cara al futuro es más grande que estos dos hallazgos. La superficie de ataque del kernel sigue expandiéndose porque las funciones útiles siguen acercándose al núcleo, y cada comodidad se convierte en la futura revisión de incidentes de alguien si nadie se hace responsable de ella. Trata KSMBD como un caso de estudio: conoce qué protocolos están expuestos, qué implementación los proporciona y ten un plan de controles compensatorios para las horas incómodas entre la divulgación pública y las correcciones disponibles. La seguridad no consiste en nunca sorprenderse. Consiste en sorprenderse con un mapa.