Los operadores de nodos Bitcoin Lightning que han actualizado a las últimas versiones de LND aún enfrentan una brecha de seguridad crítica, según un informe de CryptoSlate publicado el 9 de noviembre. Aunque los nuevos binarios de LND desactivan por defecto los escuchas Multipath TCP (MPTCP), cerrando la ruta de ataque específica demostrada en la CVE‑2026‑98432, la vulnerabilidad del kernel Linux subyacente sigue sin parchear en muchos hosts, manteniendo los nodos vulnerables a ejecución remota de código.

BTC / USD
Fuente: CoinGecko. Precios orientativos.

Actualización de LND bloquea la vía de explotación conocida

Las versiones de LND del 30 de octubre (v0.20.7‑beta y v0.21.6‑beta) eliminan los escuchas MPTCP predeterminados que Go 1.24 habilitó en Linux. Este cambio detiene la ruta de explotación demostrada que aprovechaba un escuchador MPTCP para activar el bug de corrupción de memoria del kernel. CryptoSlate señala que la corrección se limita a los puertos propios de LND (peer, gRPC y REST) y no aborda otros servicios que podrían seguir exponiendo MPTCP en la misma máquina.

La vulnerabilidad del kernel sigue siendo crítica

La falla, catalogada como CVE‑2026‑98432, implica la reutilización de memoria liberada durante el manejo de TCP IPv4 y tiene una puntuación CVSS 3.1 de 9.8, clasificándola como crítica. El rastreador de seguridad de Ubuntu aún lista los paquetes estándar del kernel para 22.04 LTS y 24.04 LTS como vulnerables, con parches disponibles solo en el repositorio -proposed a principios de noviembre. Canonical ha indicado que se avecinan actualizaciones completas del kernel, pero aconseja a los operadores verificar la versión exacta del kernel que ejecutan en sus sistemas.

Pasos de mitigación para operadores Lightning

CryptoSlate describe un enfoque de mitigación en tres fases: (1) actualizar al último binario de LND, (2) desactivar MPTCP a nivel del host usando el comando sysctl `net.mptcp.enabled=0` (o establecer la variable de entorno Go `GODEBUG=multipathtcp=0` para alivio inmediato), y (3) aplicar el kernel de Ubuntu parcheado una vez que llegue al canal -updates y reiniciar. Los operadores que usan Docker también deben ajustar la configuración del espacio de nombres de red del contenedor, ya que los cambios a nivel del host no se propagan automáticamente a los contenedores.

Qué observar a continuación

Los próximos desarrollos a seguir incluyen la cadencia de lanzamientos de Canonical para el parche del kernel en todas las variantes de Ubuntu, cualquier divulgación pública de intentos de explotación contra nodos Lightning y posibles parches upstream de la comunidad del kernel Linux que podrían abordar la vulnerabilidad fuera de las actualizaciones específicas de la distribución.