CISA confirma explotación activa de tres vulnerabilidades del kernel con severidades de hasta 9,8 sobre 10, Linux 7.3 llega a su cuarta candidata con 449 cambios centrados en sistemas de archivos y redes, Omarchy cumple un año en plena expansión de patronos corporativos, y un resumen semanal documenta movimiento en MX Linux, Raspberry Pi OS y Ubuntu 26.10.
La Agencia de Seguridad de Infraestructura y Ciberseguridad de Estados Unidos (CISA) añadió el jueves 18 de setiembre de 2026 tres vulnerabilidades del kernel Linux a su catálogo de Fallas Explotadas Conocidas (KEV, por sus siglas en inglés), con un plazo de remediación fijado para este lunes 21 de setiembre para las agencias civiles federales estadounidenses, según la propia agencia. La más grave, CVE-2025-39682, afecta la ruta de recepción de tráfico cifrado TLS del kernel y tiene una puntuación de 9,8 sobre 10 en la escala CVSS: un registro de longitud cero recuperado de la lista rx_list puede eludir el manejo normal de tipos de registro en la función recvmsg(), según la descripción técnica citada por The Hacker News. Las otras dos son CVE-2026-53266, una escritura fuera de límites en la ruta de reescritura SNAT de ebtables del cortafuegos de puente, con severidad 8,8 y que Red Hat advierte que un atacante local con acceso a reglas específicas de netfilter puede usar para corromper memoria, provocar una denegación de servicio o escalar privilegios; y CVE-2025-39964, una condición de carrera en sockets AF_ALG con severidad 7,8, que permite escrituras simultáneas capaces de colgar el sistema o corromper operaciones criptográficas. Dos de las tres fallas -CVE-2025-39682 y CVE-2025-39964- llevan numeración de 2025, lo que indica que los propios errores del kernel se identificaron y corrigieron en el árbol de desarrollo meses antes de que CISA confirmara su explotación activa este 18 de setiembre; solo CVE-2026-53266 corresponde a una falla registrada este año. La lectura literal de la alerta -tres CVE nuevos en el catálogo el mismo día- sugiere una oleada reciente de ataques, pero la numeración muestra que el problema real es la brecha entre la disponibilidad del parche y su aplicación: sistemas que no actualizaron el kernel en los meses posteriores a esas correcciones quedan expuestos hoy a explotación documentada, no a un hallazgo inédito. Un artículo de Secure in Seconds, publicado el 20 de setiembre, vincula además la inclusión en el catálogo con la aparición, ese mismo día, de código de prueba de concepto para escalar a root en las tres fallas, aunque esta sección no pudo verificar de forma independiente el contenido completo de ese artículo al cierre de esta edición. CISA exige además que las agencias federales estadounidenses cubiertas por la directiva BOD 26-04 investiguen posibles señales de compromiso en sus sistemas, no solo que instalen el parche, según la propia alerta. Costa Rica no reporta, en fuentes públicas, sistemas comprometidos por estas tres fallas al cierre de esta edición, pero cualquier administrador tico de servidores Linux -desde bancos hasta proveedores de nube local- debería aplicar las correcciones ya disponibles en las distribuciones que use, dado que la explotación documentada no depende de la nacionalidad del objetivo.
La cuarta candidata de Linux 7.3, publicada este fin de semana, concentra casi la mitad de sus cambios en sistemas de archivos y redes, con foco en el endurecimiento de seguridad.
Linus Torvalds etiquetó la cuarta candidata de Linux 7.3 este fin de semana, con 449 cambios de unos 239 colaboradores distintos, según los conteos coincidentes de Neowin, LWN.net y Tux Machines a partir del historial de commits del repositorio torvalds/linux. Los sistemas de archivos concentraron la mayor porción de los cambios, con un endurecimiento del soporte de SMB/CIFS y NTFS orientado a fallas de seguridad expuestas en la red, mientras Johannes Berg aportó 34 parches para el subsistema de Wi-Fi, el mayor volumen individual de la candidata. El resto de la candidata se repartió en partes similares entre controladores de dispositivos y una combinación de arquitectura y herramientas, según la misma cobertura. Entre los cambios de arquitectura x86 aparecen una corrección para un problema de microcódigo en los procesadores de servidor Intel Xeon 6 "Granite Rapids", un arreglo para una caída relacionada con juegos en portátiles con Intel "Panther Lake", y una corrección para un riesgo en tiempo de compilación en procesadores con la extensión APX de Intel. El énfasis en correcciones de manejo de errores y memoria, más que en funciones nuevas, es consistente con el ritmo que Linux 7.3 mantiene desde su primera candidata del 30 de agosto. El calendario habitual del proyecto sitúa el lanzamiento estable de Linux 7.3 hacia la segunda mitad de octubre de 2026, con al menos dos o tres candidatas más antes de esa fecha. Costa Rica no tiene mantenedores identificados en el equipo de desarrollo del kernel, pero las correcciones de seguridad de red que domina esta candidata -SMB/CIFS y NTFS incluidos- llegarán, con el tiempo, a cualquier distribución que los usuarios e instituciones ticas corran en producción, desde Ubuntu hasta Omarchy.
Tux Machines marcó este domingo 20 de setiembre de 2026 el primer aniversario de Omarchy, la distribución basada en Arch Linux y el compositor Hyprland que impulsa David Heinemeier Hansson (DHH) junto con la Fundación Omacom, en la misma semana en que Quattro -la versión 4.0, publicada el 14 de agosto- completa su primer mes de vida. El recuento coincide con dos contrataciones que Omacom anunció en su página oficial de noticias: outfoxxed, creador de Quickshell -el motor sobre el que corre el escritorio de Omarchy desde Quattro-, como responsable del shell del proyecto el 9 de setiembre, y Emir Beganović como responsable de infraestructura al día siguiente. El aniversario llega con la fundación en plena expansión de patronos corporativos: DigitalOcean se sumó como patrono fundador con un aporte de USD 1 millón anual durante tres años -USD 3 millones en total-, y OrcaRouter como patrono distinguido con USD 150.000 en tokens para las reservas estratégicas del proyecto, cifras que ya elevaron el financiamiento comprometido con Omacom a USD 18,7 millones según el PR #420 que esta sección reportó el sábado. Ese mismo crecimiento -documentado por The Register el 17 de setiembre bajo el título "Omarchy gains $18.5M in backing, fresh converts – and fierce critics"- convive con las críticas de desarrolladores como Matthew Garrett, quien calificó al proyecto de incompatible con los objetivos del software libre, y con una cola de miles de reportes de error sin resolver que esta sección también ha documentado en ediciones anteriores. Omacom no ha publicado, en las fuentes consultadas, una retrospectiva propia del primer año del proyecto más allá de sus anuncios de contratación y patrocinio. Costa Rica no tiene cifras propias de cuántos desarrolladores ticos usan Omarchy, pero la comunidad local de software libre que esta sección ha seguido durante el último mes -entre reportes de errores, expansión a hardware Apple y Qualcomm, y ahora este aniversario- sigue sin una vía oficial para medir su tamaño real en el país.
cat /feed/distribucioneslinuxsemana.md
El resumen semanal de 9to5Linux, publicado este fin de semana, reúne el lanzamiento de MX Linux 25.3, una actualización de Raspberry Pi OS y la cuarta instantánea de prueba de Ubuntu 26.10.
> El resumen semanal 310 de 9to5Linux, republicado por Tux Machines este fin de semana, documenta tres movimientos en el calendario de distribuciones: MX Linux 25.3 salió con base en Debian 13.7 y con el kernel Linux 7.2 en sus compilaciones AHS (soporte de hardware avanzado, por sus siglas en inglés); Raspberry Pi OS publicó la actualización 2026-09-15 con soporte de acoplamiento (dock), una nueva herramienta de captura de pantalla y una versión actualizada del compositor Wayland Labwc; y el equipo de Ubuntu liberó la cuarta instantánea de prueba pública de Ubuntu 26.10, de nombre en código "Stonking Stingray".
> La información proviene únicamente de ese resumen semanal, sin que esta sección haya podido confirmar de forma cruzada e independiente cada lanzamiento contra el anuncio original de cada proyecto al cierre de esta edición. Los tres movimientos ilustran el ritmo habitual de esta época del calendario Linux: distribuciones basadas en Debian que absorben una nueva versión estable del sistema base, hardware de placa única que recibe actualizaciones incrementales de escritorio, y Ubuntu que entra en su fase de instantáneas de prueba pública rumbo al lanzamiento de octubre.
> Ninguno de los tres proyectos ha respondido, en las fuentes consultadas, con detalles adicionales más allá de lo recogido en el resumen. Costa Rica tiene una comunidad activa de usuarios de Raspberry Pi en el ámbito educativo y de proyectos de aficionados, por lo que la actualización 2026-09-15 -con su nuevo soporte de acoplamiento- probablemente llegue directo a equipos ticos que ya corren ese sistema en placas de cómputo de bajo costo.
El boletín de setiembre de 2026 para miembros de la Open Source Initiative (OSI), publicado esta semana, plantea que el código abierto es lo que es gracias a las personas que lideraron a la comunidad, y adelanta una agenda de conferencias y encuentros para finales de setiembre y octubre. En paralelo, un webinar de OpenLogic sobre el "Estado del Código Abierto 2026" concluye que el ecosistema llegó a un punto de mayor madurez, pero acompañado de más presión por demandas de mantenimiento, más riesgo de seguridad y cumplimiento normativo, y una preocupación creciente por el bloqueo con proveedores (vendor lock-in) y la soberanía digital, según ambas fuentes. Ninguna de las dos fuentes cuantifica ese diagnóstico con una sola cifra -ni la OSI ni OpenLogic publicaron, en lo consultado por esta sección, un porcentaje concreto de proyectos afectados por falta de mantenimiento-, por lo que esta nota reporta la tendencia cualitativa que ambas describen, no un dato duro. La coincidencia entre una organización que certifica licencias de código abierto y una consultora que vende soporte comercial sobre herramientas libres apunta, de todas formas, a una conversación que ya no es marginal en la industria: quién sostiene económicamente el mantenimiento de la infraestructura de software libre de la que dependen empresas y gobiernos. Ninguna de las dos fuentes menciona a Costa Rica ni a Centroamérica en sus hallazgos. El país no tiene una política pública explícita de soberanía digital basada en software libre, más allá de proyectos puntuales en el sector educativo, por lo que la discusión sobre bloqueo con proveedores y sostenibilidad del mantenimiento que documentan la OSI y OpenLogic no tiene, por ahora, un correlato institucional local conocido.
— El boletín de setiembre de la Open Source Initiative y un informe de OpenLogic coinciden en que el ecosistema de código abierto crece con más disciplina, pero también con más riesgo de cumplimiento.
CISA confirma explotación real de tres fallas del kernel, Linux 7.3 llega a su cuarta candidata, Omarchy cumple un año en plena expansión corporativa, y un resumen semanal documenta movimiento en tres distribuciones más.
El lunes 21 de setiembre de 2026 sumó a la agenda de Linux la confirmación de CISA de que tres fallas del kernel -con severidades de 9,8, 8,8 y 7,8 sobre 10- están bajo explotación activa, con plazo de remediación federal estadounidense vencido este mismo día; la etiqueta v7.3-rc4 del kernel, con 449 cambios centrados en sistemas de archivos y redes; y el primer aniversario de Omarchy, que coincide con el primer mes de Quattro, dos contrataciones nuevas en la Fundación Omacom y un financiamiento corporativo que ya suma USD 18,7 millones. En el resto del ecosistema, un resumen semanal de 9to5Linux documentó el lanzamiento de MX Linux 25.3, una actualización de Raspberry Pi OS y la cuarta instantánea de prueba de Ubuntu 26.10, mientras la Open Source Initiative y OpenLogic coincidieron en que el código abierto madura entre más presión de mantenimiento, seguridad y soberanía digital. Esta sección seguirá la aplicación de parches para las tres fallas confirmadas por CISA, el avance del kernel Linux hacia su lanzamiento estable de octubre, y cualquier respuesta oficial de Omacom a su primer año de vida. Costa Rica no reporta impacto local confirmado de ninguno de estos frentes al cierre de esta edición, pero administradores de sistemas, desarrolladores y la comunidad tica de software libre siguen expuestos, en distinta medida, a cada uno.