- Un investigador descubre un fallo en el kernel de Linux que llevaba 16 años sin detectarse, registrado como CVE-2026-53359.
- La vulnerabilidad, bautizada como Januscape, permite una fuga de máquina virtual (VM escape) en el hipervisor KVM.
- Afecta a servidores con procesadores Intel y AMD, comprometiendo la seguridad de la nube y centros de datos.
- Los parches ya están disponibles para las principales distribuciones Linux, y se recomienda aplicarlos de inmediato.
Un investigador de ciberseguridad ha destapado un agujero de seguridad en el kernel de Linux que llevaba nada menos que 16 años escondido. El fallo, bautizado como Januscape y registrado oficialmente con el código CVE-2026-53359, permite a un atacante romper la barrera de protección entre máquinas virtuales y tomar el control del servidor físico. No es moco de pavo: hablamos de una fuga de máquina virtual (VM escape) que pone en jaque a la nube.
La vulnerabilidad fue descubierta por el experto Hyunwoo Kim, quien demostró cómo explotar este error dentro del hipervisor KVM de Linux. Este componente es el que utilizan gigantes como Microsoft, centros de datos y empresas de alojamiento web para dividir un ordenador gigante en cientos de máquinas virtuales más pequeñas. Al romper esa separación, el fallo afecta por igual a servidores con procesadores Intel y AMD, y expone datos de decenas de empresas que comparten el mismo hardware.
El fallo que ha permanecido oculto 16 años
Para entenderlo, hay que remontarse a 2010, cuando este fragmento de código se introdujo en el sistema operativo. Al ser una función opcional relacionada con la virtualización anidada (arrancar una máquina virtual dentro de otra), casi nadie la tocaba, y así ha pasado 16 años en el olvido. Pero ahora, con herramientas de análisis automático y la inteligencia artificial ayudando a los ingenieros, estos fallos antiguos están saliendo a la luz. El director de Suzu Labs advierte que en los próximos 12 o 18 meses aparecerán más errores de 10 y 15 años de antigüedad.
¿Qué es la vulnerabilidad CVE-2026-53359 y cómo afecta a la nube?
La vulnerabilidad permite a un atacante con acceso a una máquina virtual ejecutar código en el kernel del anfitrión, saltándose el aislamiento que es la regla de oro de la virtualización. Jason Soroko, de Sectigo, explica que una sola cuenta hackeada puede dar permisos de administrador sobre el servidor físico, lo que permite desde provocar una caída total hasta robar datos confidenciales de los vecinos. Robert Coles, de Black Duck, añade que, normalmente, si un hacker entra en una máquina virtual, el daño se queda ahí, pero este error lo cambia todo: una vez en la raíz, el atacante tiene acceso a toda la infraestructura y datos de decenas de empresas distintas.
Impacto en Europa y España
Aunque el fallo es global, en Europa y España el impacto es especialmente relevante porque muchos proveedores de servicios en la nube y centros de datos utilizan KVM. Empresas de alojamiento web, bancos y administraciones públicas que confían en la virtualización para sus servidores deben aplicar los parches de inmediato. Las principales distribuciones Linux ya han lanzado actualizaciones de seguridad, y se recomienda no esperar al ciclo de mantenimiento programado. La urgencia es máxima para evitar compromisos masivos de datos personales y servicios digitales.
Los expertos coinciden en que este tipo de fallos demuestran la importancia de auditar el código antiguo. La combinación de inteligencia artificial y recompensas millonarias por encontrar vulnerabilidades está haciendo que salgan a la luz errores que llevaban años durmiendo. Por eso, desde Suzu Labs avisan: esto es solo el principio. Los administradores de sistemas tienen trabajo por delante, y la mejor defensa es mantener todo actualizado y no confiarse en que un código lleva años funcionando sin problemas.