# Ubuntu parchea EntrySign y más de 130 CVE del kernel con USN-8245-1 - **Publicado el:** 2026-05-07 - **Categoría:** Seguridad - **Página original:** https://linuxgratis.com/articulos/usn-8245-1-kernel-entrysign-microcodigo-amd-ubuntu USN-8245-1 corrige EntrySign (CVE-2024-36347), el fallo de verificación de microcódigo en procesadores AMD Zen, junto a más de un centenar de vulnerabilidades del kernel. Te contamos a quién afecta y cómo actualizar. --- Canonical publicó el 7 de mayo de 2026 el aviso [USN-8245-1](https://ubuntu.com/security/notices/USN-8245-1), una actualización del kernel de Ubuntu que arregla más de un centenar de vulnerabilidades de golpe. La que se llevó los titulares es **EntrySign**, registrada como **CVE-2024-36347**, un fallo en la verificación del microcódigo de algunas CPU AMD que descubrió el equipo de seguridad de Google. ## Qué es EntrySign El microcódigo es el firmware interno que la CPU carga para corregir errores de hardware o ajustar su comportamiento. En procesadores AMD basados en la arquitectura Zen, la rutina que comprobaba la firma de ese microcódigo usaba **AES-CMAC** como función de verificación. AES-CMAC sirve para autenticar mensajes, pero no es una función hash criptográfica adecuada para validar firmas. Con ese error de diseño, un atacante que ya tenga privilegios elevados en el sistema puede preparar microcódigo malicioso y conseguir que la CPU lo acepte como legítimo. Una vez cargado, ese microcódigo se ejecuta por debajo del sistema operativo, así que rompe tanto la integridad como la confidencialidad de la máquina. No es un fallo que permita entrar desde fuera: hace falta ya tener acceso administrativo. El peligro está en lo que viene después, porque desde ahí se puede comprometer el arranque seguro, los entornos confidenciales tipo SEV-SNP o cualquier garantía que dependa de la cadena de confianza de la CPU. ## A quién afecta EntrySign es un problema de los procesadores AMD Zen, no exclusivo de Ubuntu ni de Linux. El parche del kernel que entrega Canonical aplica la mitigación por software disponible. Los paquetes actualizados en USN-8245-1 son las variantes **linux-azure** y **linux-oem-6.17** (kernel 6.17), para Ubuntu 25.10 y Ubuntu 24.04 LTS: - `linux-azure` y `linux-azure-6.17`: 6.17.0-1013.13 - `linux-oem-6.17`: 6.17.0-1020.20 Junto a EntrySign, el mismo aviso reúne más de 130 CVE de distintos subsistemas del kernel acumulados en este ciclo, así que la actualización es de calado aunque tu hardware no sea AMD. ## Mitigación y parche Actualiza el kernel cuanto antes: ```bash sudo apt update && sudo apt full-upgrade sudo reboot ``` El reinicio no es opcional. El nuevo kernel no entra en uso hasta que reinicias, y este aviso incluye cambios de ABI, lo que obliga a recompilar los módulos de kernel de terceros (drivers propietarios, DKMS) tras actualizar. Conviene ser claro con un punto: el parche del sistema operativo aplica la mitigación que puede hacerse desde software, pero **la corrección completa de EntrySign requiere una actualización de BIOS/firmware del fabricante** de tu placa o servidor. Si gestionas máquinas AMD, revisa también las actualizaciones de microcódigo y BIOS de tu proveedor. Si trabajas con kernels de Ubuntu, te interesa repasar otros avisos AMD recientes como [USN-8028-1, que cubría fallos de AMD SEV-SNP](/usn-8028-kernel-amd-sev-snp-ubuntu). Y para minimizar las ventanas de reinicio en flotas grandes, vale la pena conocer [el soporte de Livepatch en Arm64](/livepatch-kernel-arm64-sin-reinicios), que aplica parches críticos del kernel sin reiniciar. La ficha completa de [Ubuntu](/ubuntu) recoge las versiones soportadas. ## Fuente - Ubuntu Security Notice USN-8245-1: - Detalle de CVE-2024-36347 en NVD: