Introducción
Canonical publicó el 3 de noviembre de 2026 el aviso de seguridad USN-8962-1, que actualiza el kernel Linux para máquinas virtuales confidenciales (CVM) de Microsoft Azure en Ubuntu 22.04 LTS. No es un parche puntual: el aviso agrupa correcciones para cientos de CVEs repartidas en decenas de subsistemas del kernel, y Canonical advierte que algunas de esas fallas podrían permitir comprometer el sistema.
Para los equipos que operan instancias Ubuntu con Confidential Computing en Azure, la actualización conviene tratarla como un mantenimiento planificado más que como una urgencia aislada: requiere reinicio y trae un cambio de ABI que obliga a recompilar módulos de terceros. Este artículo resume qué cubre el aviso, a quién afecta y cómo aplicarlo.
Qué ocurrió
El aviso corresponde al paquete linux-azure-fde, el kernel de Ubuntu para sistemas Azure CVM. Según Canonical, la actualización corrige fallas en una larga lista de subsistemas: drivers USB Gadget, varias arquitecturas (ARM32, ARM64, OpenRISC, PowerPC, RISC-V, S390 y x86), la capa de bloques, drivers ACPI, Serial ATA y Parallel ATA, drivers de Bluetooth y del núcleo de drivers, entre muchos otros.
El primer ítem que detalla el aviso es una condición de carrera en la implementación del protocolo de radioaficionados AX.25, descubierta por Duoming Zhou, que deriva en errores de use-after-free. Un atacante local podría aprovecharla para provocar una denegación de servicio (caída del sistema). Es solo una de las muchas fallas que corrige la actualización; el resto se describe en conjunto como problemas de seguridad que un atacante podría usar para comprometer el sistema.
Impacto para DevOps / Infraestructura / Cloud / Seguridad
El alcance es acotado en plataforma pero amplio en contenido: afecta solo a instancias Ubuntu 22.04 LTS que corren el kernel Azure CVM, y dentro de ellas toca buena parte del kernel. Al tratarse de un paquete acumulativo con fallas en muchos subsistemas, no tiene sentido evaluar el riesgo CVE por CVE: lo razonable es aplicar la actualización completa dentro del ciclo de parches del kernel.
En entornos de Confidential Computing el kernel del huésped forma parte de la superficie que se busca proteger, así que mantenerlo al día es parte del modelo de seguridad y no un detalle de mantenimiento. Las instancias compartidas por varios servicios o usuarios son las más expuestas a las fallas explotables localmente.
El punto operativo más importante es el cambio de ABI. Canonical advierte que, por un cambio inevitable de ABI, las actualizaciones del kernel tienen un número de versión nuevo, lo que obliga a recompilar y reinstalar todos los módulos de kernel de terceros. Esto afecta a quienes usan drivers o agentes que se instalan como módulos, por ejemplo vía DKMS.
Detalles técnicos
Para Ubuntu 22.04 LTS (jammy), la versión corregida es 5.15.0-1124.133, distribuida en estos paquetes:
linux-image-5.15.0-1124-azure-fde— 5.15.0-1124.133linux-image-azure-fde-5.15— 5.15.0.1124.133linux-image-azure-fde-lts-22.04— 5.15.0.1124.133
Según el aviso, si no se desinstalaron manualmente los metapaquetes estándar del kernel, una actualización normal del sistema instala la versión nueva automáticamente. Después de actualizar hay que reiniciar para que los cambios tomen efecto.
Qué deberían hacer los administradores y equipos técnicos
Primero, identificar qué instancias corren el kernel Azure CVM y en qué versión:
uname -rSi la versión termina en -azure-fde y es anterior a 5.15.0-1124, la instancia está afectada. La actualización se aplica con el gestor de paquetes:
sudo apt update
sudo apt full-upgradeSi hay módulos de terceros instalados vía DKMS, conviene verificar que se hayan recompilado para el kernel nuevo antes de reiniciar:
dkms statusComo la actualización requiere reinicio, hay que planificar una ventana de mantenimiento. En flotas productivas conviene un despliegue escalonado o canario: actualizar primero unas pocas instancias, verificar que el kernel nuevo arranca, que los módulos de terceros cargan y que los servicios levantan, y recién después extenderlo al resto.
Conclusión
USN-8962-1 es una actualización acumulativa del kernel para Azure CVM en Ubuntu 22.04 LTS con correcciones para cientos de CVEs. Su importancia no está en una vulnerabilidad en particular sino en el volumen: mantener el kernel del huésped al día es parte de la seguridad de un entorno de Confidential Computing.
Los puntos a tener en cuenta al aplicarla son dos: el reinicio obligatorio y el cambio de ABI, que exige recompilar módulos de terceros. Con eso contemplado, se integra en el ciclo normal de parches del kernel.
Fuentes
https://ubuntu.com/security/notices/USN-8962-1