Alerta de seguridad: comprueba y reinicia tus servidores TurnKey

Una vulnerabilidad grave del kernel de Linux, CVE-2026-98432, puede permitir que un atacante tome el control de un servidor afectado a través de la red, sin contraseña ni intervención de sus usuarios.

Hay actualizaciones de seguridad para TurnKey Linux 18 y 19. Las actualizaciones automáticas de TurnKey podrían haber instalado ya la corrección. El reinicio activa el kernel actualizado. Comprueba todos los servidores TurnKey que administras siguiendo estos pasos.

Por qué importa

El kernel es el núcleo del sistema operativo. Controla la memoria, el hardware y las conexiones de red.

Los investigadores demostraron un ataque que permite obtener acceso completo de administrador a través de la red. Con ese acceso, un atacante podría robar bases de datos y credenciales, modificar o borrar archivos, instalar software malicioso o atacar otros sistemas. La vulnerabilidad también puede provocar fallos y revelar información de la memoria. Aviso de seguridad de AWS

El ataque demostrado utilizó Multipath TCP. El fallo afecta al procesamiento de TCP de forma más amplia, por lo que todos los servidores afectados deben recibir la actualización. Análisis técnico de Akamai

¿Se está explotando?

Los investigadores informaron de una toma de control remota el 27 de octubre. AWS comunicó que no había observado ataques en su aviso actualizado el 6 de noviembre. La posibilidad de tomar el control de un servidor a distancia hace urgente esta actualización, especialmente en servidores accesibles desde internet. Publicación de la investigación, aviso de AWS

1. Comprueba el kernel en ejecución

Abre la consola del servidor o conéctate por SSH y escribe:

uname -v

Busca la versión justo después de Debian. Por ejemplo:

... Debian 6.12.116-1 (...)

Si el kernel en ejecución cumple ese requisito, tu servidor tiene aplicada la corrección de esta vulnerabilidad.

Algunas instalaciones de TurnKey 18 utilizan el kernel alternativo 6.12 de Debian. Necesitan 6.12.113-1~deb12u1 o posterior de esa serie. Para otros kernels, pide a tu proveedor de alojamiento o a nuestro foro que revise el resultado. Las versiones proceden del registro de seguridad de Debian.

Proxmox y LXC: el contenedor comparte el kernel del anfitrión. Pide a su administrador que actualice y reinicie el anfitrión siguiendo las instrucciones de su proveedor.

2. Si el kernel en ejecución es anterior, reinicia

TurnKey instala actualizaciones de seguridad automáticamente de forma predeterminada. El kernel corregido podría estar instalado y pendiente de reinicio.

Asegúrate de tener una copia de seguridad reciente y prevé una breve interrupción. Inicia sesión como root y ejecuta:

reboot

La conexión SSH se cerrará. Cuando vuelva el servidor, conéctate y ejecuta uname -v de nuevo. Si cumple la versión indicada, la corrección está activa. Comprueba que tu aplicación funciona correctamente.

3. Si el kernel sigue siendo anterior, instala las actualizaciones

Como root, ejecuta:

turnkey-install-security-updates

Espera a que las actualizaciones terminen correctamente y ejecuta:

reboot

Vuelve a conectarte, repite la comprobación con uname -v y prueba la aplicación.

Si aparecen errores o el servidor sigue arrancando con un kernel anterior, pide ayuda. Incluye la versión de TurnKey, la salida de uname -v y los mensajes de error.

¿TurnKey 17 o anterior? Actualiza cuanto antes

TurnKey 18 se basa en Debian 12, con soporte de seguridad a largo plazo hasta junio de 2028. TurnKey 19 utiliza Debian 13. Ambos tienen una corrección para esta vulnerabilidad.

El soporte habitual a largo plazo de Debian 11, base de TurnKey 17, terminó el 31 de agosto de 2026. Para seguir recibiendo actualizaciones de Debian 11 hace falta contratar soporte ampliado por separado. Migra las instalaciones antiguas a una versión actual y compatible de TurnKey cuanto antes. Debian 12, Debian 11

Mantén actualizadas también las aplicaciones y los plugins. Algunas aplicaciones tienen su propio proceso de actualización; sigue sus instrucciones.

Si tu servidor ha sido comprometido

Aísla el servidor y reconstruye el sistema a partir de una imagen TurnKey actual y de confianza. Instala las actualizaciones de seguridad en el sistema nuevo y sustituye las contraseñas, claves API y otras credenciales expuestas desde un dispositivo de confianza.

TurnKey Backup and Migration (TKLBAM) facilita la reconstrucción. Guarda los cambios que has realizado en el sistema TurnKey original, incluidos los datos, la configuración y la selección de paquetes. Puedes restaurarlos en una instalación nueva de la misma aplicación TurnKey. La migración entre versiones principales puede requerir pasos adicionales para tu aplicación.

Elige una copia anterior a la intrusión y revisa los archivos y la configuración que vas a restaurar. Una copia posterior puede incluir cambios del atacante. Si desconoces cuándo ocurrió la intrusión, pide ayuda para revisar los datos antes de restaurarlos.

Si tienes un plan de pago de TurnKey Hub, puedes contactar con nosotros para recibir ayuda. Utiliza el soporte del Hub o escribe a support@turnkeylinux.org desde la dirección asociada a tu cuenta.