Ubuntu publicó el 12 de noviembre de 2026 una actualización de seguridad para GNU C Library (glibc), una biblioteca que usan muchos programas del sistema. El aviso USN-9065-1 incluye siete CVE y paquetes corregidos para Ubuntu 22.04, 24.04, 26.04 y 26.10. La aplicabilidad y las consecuencias varían según el fallo y la versión: entre los problemas descritos hay bloqueos y, bajo condiciones específicas, ejecución de código con privilegios elevados.
Fallos con condiciones distintas
Los problemas afectan a partes diferentes de glibc. Uno puede provocar que falle la resolución de nombres cuando una lista de búsqueda DNS incluye un dominio inusualmente largo. Otro afecta al servicio nscd si está activo y recibe una respuesta DNS demasiado grande de un servidor no fiable. El aviso agrupa estos y otros fallos, pero no implica que todas las instalaciones estén expuestas a cada uno de ellos.
Dos vulnerabilidades se relacionan con la expansión de $ORIGIN en el cargador dinámico, el componente que localiza bibliotecas compartidas cuando arranca un programa. En una, una condición de carrera podría permitir a un atacante local cargar código con privilegios elevados desde un programa setuid o setgid. La ficha de Ubuntu precisa que la explotación requiere una combinación concreta de configuración y acceso, y que fs.protected_hardlinks habilitado mitiga el problema. La otra puede causar un desbordamiento de búfer en la pila del cargador y provocar un fallo o una divulgación limitada de memoria en ciertos programas privilegiados.
Los otros avisos describen un posible desbordamiento al procesar la opción ccs= de fopen, un fallo de strncasecmp optimizada para Power8 y un problema de gettext relacionado con la variable LANGUAGE. En este último caso, cargar un catálogo manipulado desde una ubicación arbitraria puede llevar a comportamiento indefinido o ejecución de código, pero requiere condiciones adicionales, como que el programa acepte esa variable desde una fuente no confiable y pueda acceder al archivo. No se trata de un único ataque que afecte por igual a todos los equipos.
Paquetes corregidos
Canonical indica que, en general, una actualización normal del sistema instala los cambios. Estas son las versiones mínimas de libc6 que recoge el aviso:
| Edición de Ubuntu | Versión corregida |
|---|---|
| 26.10 | 2.44-1ubuntu2.1 |
| 26.04 LTS | 2.43-2ubuntu2.7 |
| 24.04 LTS | 2.39-0ubuntu8.12 |
| 22.04 LTS | 2.35-0ubuntu3.18 |
Instala las actualizaciones oficiales correspondientes a la edición utilizada y comprueba que libc6 haya alcanzado la versión indicada o una posterior. No compares el número de versión entre ediciones: Ubuntu publica paquetes distintos para cada una. El aviso no especifica una mitigación temporal; reiniciar por sí solo no instala la corrección. Tras actualizar, puede ser necesario reiniciar procesos que aún estén usando la biblioteca anterior.
El aviso de Ubuntu ofrece las instrucciones y versiones de paquete. Las fichas de CVE-2026-86805, CVE-2026-95818, CVE-2026-84243, CVE-2026-8674, CVE-2026-89092, CVE-2026-97399 y CVE-2026-18374 detallan las condiciones de varios de los fallos.
