Un fallo en X.Org X Server y XWayland permite que un cliente X local autenticado provoque una escritura fuera de los límites de memoria. El resultado puede ser una caída del servidor gráfico o, potencialmente, ejecución de código en su contexto. La vulnerabilidad, identificada como CVE-2026-93523, se corrige en xorg-server 21.1.25 y XWayland 24.1.14; para saber si un equipo está protegido hay que consultar el paquete y el aviso de seguridad de su distribución.
Qué ocurre y quién puede verse afectado
El defecto está en XInput2, la extensión de X11 que gestiona dispositivos de entrada. Al procesar una petición para retirar una captura pasiva de un dispositivo, X.Org no valida correctamente el valor modifier —una máscara que representa teclas modificadoras— antes de utilizarlo como índice. Un cliente X autenticado puede enviar un valor fuera de rango y provocar una escritura fuera de los límites del búfer en el montón. La descripción técnica figura en el registro de seguridad de X.Org y en el aviso de Red Hat.
El escenario requiere que el atacante pueda conectarse como cliente X; no es un ataque remoto indiscriminado contra cualquier equipo Linux. El impacto depende, entre otros factores, de qué clientes puedan acceder al servidor y de los privilegios con los que este se ejecute. Red Hat señala que en sus despliegues habituales con Wayland, XWayland se ejecuta dentro de una sesión de usuario sin privilegios, mientras que algunas configuraciones antiguas de X.Org que corren como root pueden exponer privilegios mayores. Un servidor sin entorno gráfico no está expuesto según ese proveedor.
Usar Wayland no descarta por sí solo el problema: XWayland permite ejecutar aplicaciones X11 dentro de sesiones Wayland y también está afectado. La corrección de XWayland es la versión 24.1.14; para X.Org X Server, la versión corregida es 21.1.25, según el registro del proyecto.
Actualización según la distribución
Los números de versión upstream sirven como referencia, pero no bastan para determinar el estado de un paquete instalado: las distribuciones pueden incorporar la corrección mediante parches sobre versiones anteriores. Además, el rastreador de Debian muestra estados distintos por rama; en la información consultada, por ejemplo, marca como corregidas las ramas forky y sid, mientras que bookworm y trixie siguen figurando como vulnerables.
La recomendación práctica es instalar la actualización de seguridad que publique la distribución para el sistema concreto y seguir sus instrucciones sobre reiniciar el servidor gráfico o cerrar la sesión. En sistemas administrados, conviene comprobar el estado del paquete en el aviso oficial correspondiente, en vez de decidir únicamente por comparar el número instalado con la versión upstream. Red Hat indica que no dispone de una mitigación general que sustituya la actualización.
