El proyecto X.Org publicó el 10 de noviembre de 2026 un aviso de seguridad que corrige ocho vulnerabilidades en el servidor X y en Xwayland, la capa que permite ejecutar aplicaciones X11 dentro de escritorios Wayland. Todas quedan resueltas en xorg-server 21.1.26 y Xwayland 24.1.15, y cualquier versión anterior se considera vulnerable.
Las claves del aviso de seguridad de X.Org en 30 segundos
- X.Org corrige ocho fallos de memoria en X server y Xwayland.
- Las versiones corregidas son xorg-server 21.1.26 y Xwayland 24.1.15.
- La mayoría afecta a la extensión de vídeo Xv, a XRes y a XTest.
- Los errores pueden provocar cierres del servidor o corrupción de memoria.
- El aviso no menciona explotación activa.
Aunque cada vez más distribuciones usan Wayland por defecto, el servidor X sigue presente en una enorme cantidad de equipos de escritorio, estaciones de trabajo, terminales ligeros y servidores con acceso gráfico remoto. Y Xwayland está instalado en prácticamente cualquier escritorio Wayland moderno, porque muchas aplicaciones todavía dependen de X11. Por eso un aviso que afecta a ambos componentes tiene un alcance amplio.
Ocho fallos, casi todos de validación de tamaños
Los ocho identificadores CVE comparten un patrón: comprobaciones de longitud o de tamaño que fallan ante valores negativos, desbordamientos de enteros o datos que exceden un búfer fijo. Según el aviso, son estos:
- CVE-2026-109091: escritura fuera de límites al procesar descriptores DS_RANGES en datos EDID manipulados, la información que una pantalla envía al equipo.
- CVE-2026-109092: desbordamiento en la comprobación de límites de memoria compartida de XvShmPutImage.
- CVE-2026-109093: escritura fuera de límites en la pila en XTestFakeInput por exceso de campos de valuadores.
- CVE-2026-109904: desbordamiento en el cálculo del tamaño de petición de XRes QueryClientIds en servidores de 32 bits.
- CVE-2026-109094: fallo similar en la ruta de intercambio de bytes de XRes QueryResourceBytes.
- CVE-2026-109095: desbordamiento de entero en el cálculo del tamaño de imágenes Xv con glamor.
- CVE-2026-109096: un tamaño de imagen negativo permite saltarse la comprobación de longitud en XvPutImage.
- CVE-2026-109903: XvQueryImageAttributes devuelve un tamaño negativo como valor sin signo en lugar de un error.
Las consecuencias descritas van desde lecturas o escrituras fuera de los límites de memoria hasta cierres del servidor. Este tipo de errores en el servidor X suele preocupar porque, en muchas configuraciones, el proceso se ejecuta con privilegios elevados, lo que puede convertir un fallo de memoria en una vía de escalada de privilegios local. El aviso de X.Org no asigna puntuaciones CVSS a estos ocho fallos.
Entre los descubridores figuran el investigador que firma como Acts1631, Tristan Madani, de Talence Security, y Eun0us, de Espilon.
Qué actualizar y cómo comprobarlo
La recomendación es instalar las actualizaciones de la distribución en cuanto estén disponibles. La mayoría de usuarios no compila el servidor X por su cuenta, así que lo habitual será recibir parches retroportados en los paquetes xorg-server, xserver-xorg-core o xorg-x11-server y xwayland, según la distribución. Para comprobar la versión instalada basta con ejecutar Xorg -version o consultar el gestor de paquetes.
Después de actualizar hay que reiniciar la sesión gráfica, ya que el servidor en ejecución sigue usando el código antiguo hasta que se relanza. En servidores con escritorios remotos o sesiones X compartidas conviene planificar ese reinicio, porque cierra las aplicaciones gráficas abiertas.
No es el primer aviso del año. X.Org ya había publicado varias correcciones de seguridad en 2026, que han llevado al servidor desde la versión 21.1.23 hasta la 21.1.26 actual. El proyecto no ha indicado que ninguno de estos ocho fallos se esté explotando de forma activa.
Preguntas frecuentes
¿Qué versiones corrigen los fallos?
xorg-server 21.1.26 y Xwayland 24.1.15. Cualquier versión anterior es vulnerable, salvo que la distribución haya retroportado los parches.
¿Afecta a quien usa Wayland?
Sí, si tiene Xwayland instalado, algo habitual en escritorios Wayland para ejecutar aplicaciones X11.
¿Se están explotando estas vulnerabilidades?
El aviso de X.Org no menciona explotación activa.
¿Hay que reiniciar tras actualizar?
Sí, hay que reiniciar la sesión gráfica para que el servidor cargue el código corregido.
Fuentes:
