libsoup, la biblioteca de red usada por aplicaciones GNOME, tiene una vulnerabilidad de tipo use-after-free (CWE-416) en su implementación de cliente HTTP/2. El fallo se dispara cuando una aplicación GNOME sube un archivo por HTTP/2 y el servidor envía un frame GOAWAY mientras el cuerpo del archivo aún se lee de forma asíncrona. Un servidor HTTP/2 malicioso o un atacante en posición de Man-in-the-Middle (MITM) puede aprovechar la condición de carrera para corromper memoria, lo que podría derivar en divulgación de información o ejecución arbitraria de código.
El CSIRT Nacional de Chile emitió una alerta de vulnerabilidad crítica sobre este CVE, enmarcada en el Patch Tuesday de Microsoft de septiembre de 2026, señalándolo como relevante para infraestructura chilena. Con CVSS 7.6 y una probabilidad de explotación real de apenas 0.2% en los próximos 30 días (percentil 13% según EPSS), el riesgo inmediato es bajo, pero conviene aplicar los parches disponibles para libsoup y mantener actualizadas las aplicaciones GNOME que suben archivos por HTTP/2.
| CVE | CVE-2026-85197 |
|---|---|
| Severidad | HIGH |
| CVSS | 7.6 / 10 |
| EPSS | 0.2% en 30 días (percentil 13) |
| CWE | CWE-416 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |