Ilustración editorial generada con IA por Defensops. No es una fotografía del incidente ni de los equipos afectados. Representa Ilustración de predicción de saltos obsoleta y fuga por caché en un procesador.

Síntesis y análisis propios a partir de la cobertura de BleepingComputer; las afirmaciones del medio se atribuyen a su fuente.

Qué se ha confirmado

BleepingComputer informa de que investigadores de VUsec y Scuola Superiore Sant'Anna desarrollaron Branch Target Reuse (BTR), una variante de Spectre v2 evaluada en Linux cBPF, SpiderMonkey y GraalVM.

BTR aprovecha una predicción indirecta que permanece en la CPU cuando un motor JIT libera código y coloca otro fragmento en la misma dirección; así puede ejecutar transitoriamente instrucciones que la ejecución normal no seguiría.

En la prueba con Linux, programas cBPF sin privilegios entrenaron la predicción y una traza de caché permitió inferir datos byte a byte de un proceso su en ejecución.

Los autores comunicaron que recuperaron el hash de la contraseña de root en una media de tres y cinco minutos en procesadores Raptor Cove y Lion Cove, respectivamente.

La publicación indica que el artículo técnico incluye una explotación integral con la configuración predeterminada de cBPF y otra adaptada a la opción de endurecimiento constant blinding.

En SpiderMonkey se comprobó que sobreviven predicciones antiguas tras reutilizar código, pero no se demostró una explotación completa del navegador; en GraalVM tampoco completaron un ataque.

Los problemas recibieron los identificadores CVE-2026-64507 y CVE-2026-64508, y la fuente afirma que ya se integraron correcciones en el kernel Linux.

Análisis de Defensops

La aportación es experimental pero concreta: une una predicción de salto residual con la reutilización de memoria por código generado dinámicamente y muestra una fuga integral en Linux cBPF. Esto cuestiona la suposición de que la modificación de código en motores JIT impedía llevar este tipo de ataque a una demostración práctica.

El alcance operativo depende de la configuración y del código disponible para un actor local sin privilegios. La demostración recupera un hash de memoria, no la contraseña en texto claro; convertirlo en acceso útil exigiría pasos adicionales cuya viabilidad depende del algoritmo de hash y de la fortaleza de la clave. No hay en la fuente constancia de explotación en incidentes reales.

Los resultados sobre otros motores JIT no deben extrapolarse al navegador o a la máquina virtual como compromisos completos. Allí se observaron propiedades parciales o una vía que no pudo completarse. La prioridad de respuesta recae en comprobar las correcciones del kernel de las distribuciones usadas y seguir las indicaciones de fabricantes sobre firmware y mitigaciones.

Prioridades de revisión

Identificar sistemas Linux que permitan ejecutar cargas locales no privilegiadas, especialmente donde cBPF esté disponible, y registrar kernel y procesador para priorizar la evaluación.

Consultar los avisos de la distribución sobre CVE-2026-64507 y CVE-2026-64508 y verificar qué actualización de kernel incorpora las correcciones antes de desplegarla.

Aplicar las actualizaciones del sistema operativo y firmware indicadas por los proveedores para las plataformas afectadas y confirmar la versión instalada tras reiniciar cuando corresponda.

En sistemas multiusuario o que ejecuten código no confiable, revisar si el acceso a cBPF sin privilegios es necesario para la carga de trabajo y limitarlo cuando sea viable sin interrumpir funciones legítimas.

Separar en la evaluación de riesgo la fuga experimental de un hash del uso real de la contraseña; comprobar políticas de contraseñas y exposición de procesos sensibles sin afirmar que la prueba haya descifrado claves.

Qué no se ha confirmado

La fuente no ofrece una relación exhaustiva de modelos de CPU, distribuciones y versiones de kernel vulnerables o corregidas.

No se presentan ataques reales que hayan usado BTR fuera del laboratorio.

Las pruebas en SpiderMonkey y GraalVM no establecen una explotación integral de esas plataformas.

Fuente

BleepingComputer. Fecha indicada: 2026-09-29.