Durante décadas, Linux ha disfrutado de una reputación casi blindada, una que dejaba en claro que el sistema que “no se infecta”, que corre sin antivirus y sostiene silenciosamente buena parte de Internet. Una reputación que tiene fuertes fundamentos, pero que también tiene grandes matices.
Solo por poner un ejemplo, en 2024 el núcleo Linux acumuló más de 3.000 CVEs, la cifra más alta de su historia. De hecho, 2025 y lo que llevamos recorrido de 2026, la IA ha hecho que el malware y exploits dirigidos a Linux, haya crecido a un ritmo que ningún modelo de parcheo tradicional puede seguir.
Una realidad que ha comenzado a hacer presión y nos lleva a la pregunta: ¿Bajo qué condiciones Linux es realmente seguro?
Linux es muy seguro por diseño
Responder esa pregunta, nos lleva a un primer punto: ¿Qué hace que Linux sea seguro? Y la respuesta inicial es clara: la forma en como funciona y es construido.
En este punto, hay razones estructurales que hacen que Linux tenga ventaja. La primera es su modelo de permisos: los usuarios trabajan con privilegios limitados y cualquier cambio de sistema exige elevarse a root (administrador) explícitamente. Así por ejemplo, un malware que comprometa una sesión queda inicialmente atrapado en su perímetro, sin daño global.
En Windows, esto no es tan claro. Durante años, Windows no tenía más cuentas que la administrativa, y con la implementación de cuentas, las limitaciones no eran muy claras.
Ha sido hasta Windows 10, cuando esa división de privilegios se hizo lo suficientemente segura compara considerarse una barrera segura, excepto, que nadie la usa. La mayoría de personas que usan Windows, lo hacen con cuentas administrativas, así que, no sirve de nada. En Linux, eso es impensable. De hecho, muchas aplicaciones no pueden ejecutarse como root, simplemente fallan, una medida en pro de mantener la seguridad.
Vitalik explora una nueva criptografía resistente a los ordenadores cuánticos
La ventaja del software libre
La segunda es el código abierto. El kernel Linux supera actualmente lis 36 millones de líneas y ha recibido contribuciones de más de 13.500 desarrolladores desde 2005. La Ley de Linus esa que dice: “con suficientes ojos, todos los bugs son superficiales”, significa que se produce una auditoria que ningún proveedor propietario puede replicar a esa escala. Una revisión que permite que los fallos se exponen antes y cada parche es un bien público.
A eso se suman capas de endurecimiento poco habituales: el control de acceso obligatorio (MAC) de SELinux (creado por la NSA) y AppArmor, limitan lo que cada proceso puede tocar aunque esté comprometido; seccomp filtra las llamadas al sistema; y la instalación pasa por gestores de paquetes con repositorios firmados. Con auditoría, cifrado y actualizaciones en un par de comandos, un escritorio bien administrado no necesita antivirus.
Hay además un factor económico. Más del 95% del malware conocido apunta a Windows (AV Atlas), porque allí está la masa de usuarios con datos explotables, mientras Linux apenas supera el 7% de cuota de escritorio (StatCounter) y se fragmenta en cientos de distribuciones. Atacar el escritorio Linux no ha sido rentable, y tampoco es sencillo.
La otra cara de la moneda: el kernel y la montaña de CVEs
Pero esa ventaja de diseño convive con un dato incómodo: Linux es el componente de código abierto con más vulnerabilidades registradas en la base de datos nacional de vulnerabilidades de NIST (NVD). Entre los años 1999 y 2024, se asignaron más de 20.000 CVEs al kernel, y el ritmo se ha disparado en los últimos años.
Pero conviene leer estas cifras con contexto. En febrero de 2024, el kernel asumió su rol como Autoridad Numeradora de CVEs (CNA) y empezó a asignar identificadores a casi todas las correcciones de seguridad de sus ramas estables, incluso las menores.
El salto de 2024 es más transparencia que más bugs, algo que Greg Kroah-Hartman anunció avisando de una “cantidad aparentemente enorme” de CVEs. La cifra exacta varía según la contabilización. La base de datos NVD registra 3.108 CVEs en 2024 y otras lecturas de los mismos datos, como la de Swif.ai, llegan a 3.529. Esto es una ronda de 8-9 CVEs nuevos al día, solo para el kernel.
Problemas cada vez más graves
Pero lo más preocupante no es el volumen, sino la gravedad. Los CVEs críticos (CVSS 9.0+) pasaron de 22 en 2019 a 148 en 2024, eso es uno cada 2,5 días, y el 42% del total se clasificó como severidad alta. Subsistemas como el de red y gestión de memoria generaron el 38% de los CVEs entre 2020 y 2024, dominados por fallos de seguridad de memoria (uso tras liberación, escritura fuera de límites). Esto no contradice la solidez del diseño: recuerda que el kernel está escrito mayoritariamente en C, sin garantías de memoria.
La comparación refuerza el matiz. En 2024, el kernel registró 3.108 CVEs frente a 587 del núcleo Windows o 312 de Mac OS, con un porcentaje de críticos y altos similar (46,8% frente a 54,2% y 51%). La brecha de volumen refleja el modelo abierto, pero también que Linux no es inmune a los fallos serios, y de hecho, el nivel es muy parecido al que vemos en Windows y Mac OS.
Las 18 reglas de Microsoft para la interacción entre humanos e IA
Los mitos que conviene desmontar
Y esto nos lleva ahora a ciertos mitos que vale la pena desmontar:
- El primero: “Linux no es propenso a virus”. Los virus clásicos son raros en Linux, es cierto, pero los gusanos y el ransomware atacan a cualquier sistema con valor, como señala el experto en seguridad Michael Boelen en Linux Audit. La idea de que “a nadie le interesa Linux” quedó obsoleta cuando Linux se convirtió en el sistema de los servidores, la nube y el IoT.
- El segundo: “No necesito firewall”. Una distribución bien configurada expone pocos servicios, pero incluso así, un sistema sin filtrado de red es un mal ciudadano de dicha red. Después de todo, el firewall sigue siendo una defensa básica contra gusanos y ataques de red, a entrada y a salida. Curiosamente, este es el error más común del mundo Linux, ya que la mayoría de sistemas Linux vienen sin un firewall bien configurado.
- El tercero: “El código abierto es seguro por definición”. La disponibilidad del código no garantiza su revisión. La Ley de Linus funciona cuando hay ojos de sobra, y no todos los proyectos los tienen. Ejemplo de esto es XZ Utils, donde un actor malicioso pudo inyectar un payload para infiltrar sistemas Linux en todo el mundo, y todo, porque no había suficientes desarrolladores y ojos para revisar el código.
- El cuarto: “Los paquetes de los repositorios oficiales son seguros». Esta es la otra cara del error. Un repositorio oficial contiene miles de paquetes, y que una distribución lo mantenga significa que parchea los fallos conocidos, no que no existan, o que no sean introducidor por los propios mantenedores. En este punto, Arch Linux es la distro con más problemas históricos detectados y que aún siguen ocurriendo.
Un grave problema
La demostración más dramática fue precisamente el fallo de XZ Utils (CVE-2024-3094), en marzo de 2024. Un actor bajo el alias “Jia Tan” dedicó más de dos años a contribuir parches legítimos a la biblioteca de compresión, ganó la confianza de la comunidad y fue nombrado mantenedor.
En las versiones 5.6.0 y 5.6.1 de este software, se introdujo una puerta trasera que alteraba la autenticación de OpenSSH y permitía ejecución remota antes de autenticarse; CISA la calificó con el máximo CVSS 10.0. La descubrió por casualidad el ingeniero de Microsoft Andres Freund, al notar consumo anómalo de CPU en inicios de sesión SSH. Las distribuciones estables (RHEL, Ubuntu LTS, Debian estable) se salvaron por días. Porque de haberse completado todo el proceso, millones de sistemas hubiesen quedado al alcance del ataque.
Otro caso ilustrativo es Looney Tunables (CVE-2023-4911), revelado por Qualys en octubre de 2023: un desbordamiento de búfer en el cargador dinámico de glibc que otorgaba privilegios root en instalaciones por defecto de Fedora, Ubuntu y Debian. CISA lo añadió a su catálogo de vulnerabilidades explotadas en noviembre de 2023 y siguió siendo un objetivo activo durante 2025.
El blanco ya no es el escritorio
A todo esto se suma otra realidad: según W3Techs, el 62% de las webs con sistema operativo identificable corre sobre Linux a fecha de agosto de 2026, el 96% de los principales millones de servidores web y los 500 superordenadores más rápidos usan Linux, y el 91,6% de las máquinas virtuales de Google Cloud y el 83,5% de las de AWS corren sobre él. Android, con más de 3.000 millones de dispositivos, también es Linux.
Cuando la infraestructura crítica se concentra en un solo sistema, ese sistema se convierte en el objetivo, y los datos de 2025 y 2026 lo confirman con crudeza:
- Fuerza bruta por volumen. El informe global de amenazas de Elastic (2025) halló que el 89% de los comportamientos de endpoint observados en sistemas Linux eran intentos de fuerza bruta, sobre todo contra SSH expuesto: los atacantes barren Linux con credenciales cada minuto.
- Ransomware específico para Linux. LockBit, Play, Akira y la familia más nueva Kraken distribuyen cifradores Linux dedicados a hosts VMware ESXi: un solo hipervisor comprometido cifra decenas de máquinas virtuales, y por eso este ransomware concentra una parte desproporcionada de las pérdidas elevadas. CISA añadió el fallo de escritura arbitraria CVE-2025-22225 de ESXi a su catálogo de vulnerabilidades explotadas en 2025.
- Botnets IoT. Cloudflare absorbió un ataque DDoS de pico de 31,4 Tbps atribuido a la variante Aisuru-Kimwolf de Mirai, que se estima comprometió entre uno y cuatro millones de dispositivos Linux.
- Nube y contenedores. Las intrusiones en la nube crecieron un 26% interanual y los ataques un 37% (CrowdStrike), con el abuso de credenciales válidas como método principal. En un caso de Sysdig, los atacantes lanzaron más de 500 contenedores de criptominería cada 20 segundos, y una brecha de nube pública cuesta de media más de 5 millones de dólares.
La IA ha acelerado el ataque contra Linux
Y aquí el debate cambia de naturaleza. La IA no ha creado una nueva categoría de vulnerabilidades en Linux; ha comprimido el tiempo entre divulgación y explotación, y ha abaratado el malware específico de Linux, hasta un punto que ningún calendario de parcheo tradicional puede asumir.
El Cloud Security Alliance (CSA) documentó en abril de 2026, el colapso de la “ventana de explotación”. Y es que el tiempo medio entre divulgación y explotación cayó de unos 32 días en 2022, a unos 5. Y, en 2025, un 32,1% de los exploits nuevos aparecían el mismo día o antes de la divulgación pública del CVE.
Todo porque los sistemas de IA generan hoy PoCs para CVEs publicados en 10-15 minutos a un coste de un dólar por intento; el marco multiagente como CVE-Genie, reprodujo el 51% de los CVEs de 2024-2025, con exploits verificables, a un coste medio de 2,77 dólares. La investigación de Anthropic de 2026, mostró modelos que construyeron exploits de Firefox en menos de una hora desde la publicación del parche y cadenas completas de escalada de privilegios del kernel de Windows en horas.
DFlash 2: la tecnología para que la IA responda el triple de rápido
Ataques multivectoriales e híbridos
En enero de 2026, Check Point Research presentó VoidLink, el primer marco de malware Linux de complejidad avanzada desarrollado casi íntegramente por IA: unas 88.000 líneas de código en menos de una semana, por un único operador usando el IDE asistido por IA, con más de 30 módulos, rootkits híbridos (LKM y eBPF) y persistencia cloud-nativa.
Elastic Security Labs corroboró en marzo de 2026, sobre el código fuente filtrado, ciclos de iteración típicos de conversaciones con modelos de lenguaje, y advirtió que la barrera para desarrollar rootkits de kernel, ha bajado drásticamente. En agosto de 2026, The Hacker News informó de 14 paquetes npm trojanizados que distribuían el backdoor RedC2 4.0 para Linux con capacidades C2 asistidas por IA.
Los ataques autónomos han llegado al mismo plano. Unit 42 documentó en julio de 2026 una campaña de un actor de habla china que usaba DeepSeek a través del framework Hermes Agent para enumerar objetivos, escanear GitHub en busca de exploits de tendencia y seleccionar vulnerabilidades por severidad: más de 460 objetivos, ejecutando en minutos cientos de horas de trabajo manual.
En paralelo, la investigación académica describió un gusano autónomo que corre modelos de lenguaje en la computación robada de los sistemas que infecta, se replica y explota vulnerabilidades publicadas después del corte de entrenamiento del modelo, convirtiendo avisos públicos en exploits sin intervención humana.
El veredicto
¿Es Linux un sistema seguro? Sí, más que la mayoría, por diseño y por historia. ¿Es infalible? No, y la evidencia de los últimos tres años, lo demuestra sin ambigüedad. El mito de que “Linux no se ataca” murió cuando Linux se convirtió en el sistema operativo de los datos del mundo. La realidad es mucho más matizada: Linux sigue siendo una plataforma sólida, pero su seguridad depende hoy de lo que sus administradores hagan, no de lo que el logo prometa.
Con la IA comprimiendo cada vez más la ventana entre divulgación y explotación, la diferencia entre un sistema comprometido y uno a salvo no será el sistema, sino la disciplina con la que se opera.