ntop, la empresa italiana detrás de las herramientas de monitorización de red de código abierto nDPI y ntopng, ha añadido a su biblioteca de inspección profunda de paquetes la detección de ataques que intenten explotar CVE-2026-98432, el fallo crítico de uso de memoria liberada en la pila TCP sobre IPv4 del kernel de Linux. El cambio, publicado en el repositorio de nDPI el 6 de noviembre de 2026, permite que ntopng y nProbe reconozcan el patrón de tráfico del ataque y lo señalen en su interfaz web o en los flujos que exportan.
Las claves de la detección de CVE-2026-98432 con nDPI en 30 segundos
- nDPI incorpora la detección del ataque contra CVE-2026-98432 desde un cambio del 6 de noviembre de 2026.
- ntopng y nProbe lo detectan de forma automática al usar esa versión de la biblioteca.
- El ataque usa un SYN con opciones IPv4 poco comunes seguido de un SYN duplicado.
- Detectar no protege: la solución sigue siendo actualizar el kernel.
Según explica ntop en su blog, les preguntaron si era posible detectar ataques basados en esta vulnerabilidad y ampliaron nDPI para hacerlo. Al estar la lógica en la biblioteca, las aplicaciones que la usan, como ntopng (monitorización de tráfico) y nProbe (sonda de flujos NetFlow e IPFIX), heredan la detección sin configuración adicional.
Qué patrón detecta
Como ya explicamos al analizar CVE-2026-98432, el fallo está en cómo el kernel pasa las opciones IP de una petición de conexión al socket definitivo sin copiarlas. ntop describe el ataque así: el atacante envía un paquete SYN con opciones IPv4 heredadas y poco habituales y, justo después, un SYN duplicado. Si dos núcleos del procesador atienden ambos paquetes a la vez, uno puede liberar la memoria de esas opciones mientras el otro todavía la lee. El resultado puede ir desde una caída del sistema hasta una corrupción de memoria.
Ese patrón deja una huella en la red que sí puede verse desde fuera del servidor: opciones IPv4 que el tráfico legítimo prácticamente no usa hoy, combinadas con SYN repetidos en un intervalo muy corto. Es lo que nDPI pasa a identificar. ntop no detalla en su artículo la lógica concreta ni los nombres de las alertas, así que conviene revisar el cambio en el repositorio de nDPI o la documentación de ntopng antes de crear reglas o paneles a medida.
Detección no es protección
La detección en red es útil para saber si alguien está sondeando o atacando los servidores, sobre todo mientras hay sistemas sin parchear, y para correlacionar posibles caídas del kernel con tráfico sospechoso. Pero no bloquea nada por sí misma. La corrección real es actualizar el kernel: el fallo está resuelto en las ramas estables 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56 y 7.2.10, y cada distribución publica sus propios paquetes a su ritmo.
Para quien tenga ntopng o nProbe desplegados, el paso práctico es actualizar a una compilación de nDPI que incluya este cambio y vigilar las alertas en los equipos con servicios TCP expuestos por IPv4. También tiene sentido filtrar en el perímetro los paquetes con opciones IPv4 que la red no necesita, una práctica que reduce la superficie de este y otros ataques. Las instrucciones para comprobar y actualizar el kernel en cada distribución están en administraciondesistemas.com, y el impacto en la nube, en Revista Cloud.
Preguntas frecuentes
¿Qué es nDPI?
Una biblioteca de código abierto de ntop para inspección profunda de paquetes, que identifica protocolos y riesgos en el tráfico de red y usan herramientas como ntopng y nProbe.
¿Cómo es el ataque contra CVE-2026-98432?
Según ntop, un SYN con opciones IPv4 poco comunes seguido de un SYN duplicado, que puede provocar que dos núcleos accedan a la misma memoria cuando una ya la ha liberado.
¿Sustituye la detección al parche?
No. La detección avisa de intentos de ataque, pero la única corrección es actualizar el kernel a una versión parcheada.
Fuentes:
