Toda imagen oficial de Kali sale de un script que la distribución mantiene público en GitLab, y hasta esta semana ese script recomendaba construir Kali desde Kali, con el problema de huevo y gallina que eso supone. El círculo se rompe en la tercera entrega de 2026: Kali Linux 2026.3 llegó este lunes 26 de octubre con 126 paquetes actualizados, el kernel de 6.19 a 7.1.5 y un envoltorio que detecta si tienes Docker o Podman y compila dentro de un contenedor. Es la entrega con menos titulares vistosos del año y la que más cambia cómo se produce la distribución.
Ese envoltorio se llama build-in-container.sh y acompaña a cada uno de los scripts de construcción ya renovados. La distribución reconoce que no le dio tiempo a refrescarlos todos y que algunos flujos de integración continua se han roto por el camino, con 2026.4 como fecha para terminar la faena. En el escritorio, la opcional KDE Plasma sube a 6.7 y estrena escritorios virtuales por pantalla, mientras Xfce 4.20 sigue siendo el entorno que viene de fábrica.
Las herramientas inéditas en los repositorios son seis, y ninguna cambia por sí sola el oficio de un equipo rojo. Lo que sí cambia es que ahora puedas levantar una ISO idéntica a la oficial sin instalar dependencias de compilación en tu portátil.
De ISO artesanal a cadena reproducible
Los scripts de construcción llevaban tiempo siendo el pariente pobre de la documentación. Son los mismos que generan cada imagen que aparece en la página de descargas, y desde esta entrega comparten funciones, argumentos de línea de órdenes, estructura y hasta aspecto entre plataformas. Compilar una imagen propia deja de ser un ejercicio de arqueología y pasa a ser una tarea de minutos con dependencias declaradas.
El ejemplo que publica el proyecto es el del instalador. Clonas el repositorio kali-installer, instalas las dependencias de compilación que lista su README y ejecutas build.sh con permisos de administrador. Por defecto sale una ISO rolling para AMD64, y los argumentos permiten cambiar el nombre del equipo, añadir paquetes, o elegir otra rama, variante y arquitectura, como en `–branch kali-dev –variant netinst –arch arm64`.
La parte del contenedor es la que de verdad cambia el cálculo para un equipo con prisa. Cada script renovado trae su propio build-in-container.sh, que detecta el motor disponible, crea la imagen de construcción y lanza el trabajo dentro de ella, de modo que las dependencias no ensucian el host. Todo el código sigue en el repositorio público de build-scripts, que es el mismo que usa el proyecto para sus imágenes.
| Motor |
Qué pide |
Límite conocido |
| Docker |
usuario en el grupo docker o permisos de administrador |
el modo rootless está sin probar |
| Podman |
rootful, invocado como administrador |
el modo rootless no está soportado |
| Los dos instalados |
build-in-container.sh elige Podman |
CONTAINER=docker fuerza el otro |
Plasma 6.7 y el escritorio que no es el de fábrica
KDE Plasma pasa a la versión 6.7 en Kali, aunque Xfce 4.20 sigue siendo el entorno que se instala por defecto. La novedad que más se nota en una sesión de trabajo larga es el escritorio virtual por pantalla: puedes cambiar el espacio del monitor donde tienes Burp sin mover el que sostiene los terminales y la documentación.
El Overview permite saltar entre esos escritorios sin recorrer monitor a monitor, y el soporte de protocolos y portales de Wayland sigue creciendo, un detalle que importa cuando encadenas capturas de pantalla y pegas comandos entre aplicaciones. Hay además optimizaciones de consumo para gráficas Intel integradas y para sesiones con muchas ventanas a pantalla completa, conexiones de red duplicables y retoques en el monitor del sistema.
Conviene matizar que buena parte de estos cambios vienen de KDE y no de Kali, que aquí solo empaqueta. Lo propio de la distribución es la capa de iconos: se han añadido a herramientas que no tenían ninguno y se han redibujado los antiguos para que un menú con cientos de utilidades deje de parecer una lista de nombres idénticos.
Seis herramientas nuevas que entran en los repositorios
El catálogo crece con utilidades de reconocimiento que hasta ahora se instalaban a mano, y el anuncio las presenta sin jerarquía ni orden de importancia. La lista completa de lo añadido en esta entrega es la siguiente:
- dalfox, escáner de XSS orientado a la automatización
- katana, marco de rastreo y arañado web
- qsreplace, que reescribe los valores de query string de las URL que recibe
- rustscan, escáner de puertos escrito en Rust
- sdrangel, frontal Qt para radio definida por software
- snaffler-ng, buscador de credenciales y datos sensibles en recursos compartidos SMB
Ninguna de las seis es un descubrimiento reciente: rustscan y dalfox ya se distribuían por su cuenta antes de entrar en los repositorios de Kali. El valor está en el empaquetado firmado y en la actualización junto al resto del sistema, que ahorra el ritual de bajar binarios de un repositorio ajeno y comprobar a mano las sumas de verificación cada pocos meses. Si tu especialidad va por otro lado, en cinco herramientas de ciberseguridad en Linux que conviene dominar hay un repaso de lo que se pide en una auditoría.
Para un equipo rojo el orden de utilidad depende del encargo. snaffler-ng y katana pesan en un reconocimiento de Active Directory o de una aplicación web grande, mientras sdrangel solo tiene sentido si el trabajo toca radiofrecuencia. rustscan acorta el barrido inicial de puertos de minutos a segundos, y eso se agradece en una ventana de pruebas con reloj.
Ninguna tapa lo que se cierra con un parche, como el RCE crítico de php2shell que obligó a actualizar servidores con PHP expuesto: la herramienta abre el camino y el mantenimiento del sistema lo cierra.
NetHunter sube la muñeca y estrena kernels
La parte móvil del proyecto se lleva la noticia más vistosa de toda la entrega. El wardriving, esa práctica de buscar redes inalámbricas en movimiento, ya funciona desde un TicWatch Pro 3, y no por un apaño: la librería libnexmonkali se actualizó para que el modo monitor interno del reloj alimente herramientas del entorno Linux del reloj, como aircrack-ng o kismet, con guía propia de instalación en el reloj.
El resto del paquete incluye WearHunter, un experimento para controlar el reloj desde el teléfono con ADB por Wi-Fi o Bluetooth, acceso NFC al entorno Linux del terminal que permite leer, clonar y editar tarjetas Mifare clásicas sin adaptador externo y soporte de KernelSU. Los nueve kernels nuevos cubren desde un Pixel con LineageOS 22.2 hasta un Sony Xperia 10 V, con paradas en un Huawei P9, un Moto G Stylus 5G y un Ulefone Armor 34+.
También se resuelven incompatibilidades entre systemd y udev modernos y kernels antiguos que antes exigían parches propios. En un terminal de 2019 con NetHunter, ese arreglo se nota justo cuando estás en la calle y no puedes volver al portátil a recompilar nada.
Cuatro espejos europeos y un kernel que hay que probar
Kali Linux 2026.3 cierra el ciclo con cuatro espejos nuevos y los cuatro están en Europa: dos en Países Bajos, uno en Portugal y otro en Suiza. Para quien hace pruebas desde Madrid o Lisboa, la diferencia se mide en minutos al bajar una ISO de casi cinco gigabytes, no en milisegundos de latencia.
El salto de 6.19 a 7.1.5 es el cambio con más consecuencias silenciosas de toda la entrega. Un kernel nuevo trae soporte de hardware reciente y parches de seguridad, pero también puede dejar fuera módulos de terceros, y esta es una distribución que se usa en campo con adaptadores Wi-Fi externos. Prueba tu adaptador y tus herramientas de inyección en una máquina virtual antes de la primera misión.
Lo que 2026.4 tendrá que terminar
Queda trabajo a medias y el anuncio lo dice sin adornos. No todos los scripts de construcción están renovados, el siguiente hito es automatizar las compilaciones y después vendrán ejemplos de configuraciones y personalizaciones distintas. Si tu equipo depende de una imagen propia, lee el README antes de tocar la tubería: los argumentos han cambiado de sitio y de forma en más de un script.
Puedes actualizar con un full-upgrade normal y comprobar el resultado con grep VERSION sobre /etc/os-release. Lo que de verdad mueve el oficio no es Plasma ni la lista de herramientas, es que puedas construir la misma imagen que descargas sin tener Kali instalado, con las dependencias aisladas y dentro de un contenedor, en lugar de confiar en el artefacto que alguien generó el martes en su escritorio.
