Ocho fallas de seguridad afectan a X.Org Server y XWayland

Investigadores divulgaron ocho vulnerabilidades que afectan a X.Org Server y también alcanzan al código de XWayland. Los problemas, vinculados con operaciones de memoria, imágenes y solicitudes, tienen correcciones disponibles en versiones específicas de ambos proyectos.
***

• Ocho vulnerabilidades fueron divulgadas para la base de código de X.Org Server y también afectan a XWayland.
• Los fallos reportados incluyen desbordamientos y escrituras fuera de límites en componentes de imágenes, memoria compartida y solicitudes.
• Las correcciones están incluidas en xorg-server-21.1.26 y xwayland-24.1.15.

Ocho fallas en dos componentes gráficos

Ocho vulnerabilidades de seguridad en la base de código de X.Org Server fueron divulgadas el 10 de noviembre de 2026, según informó Phoronix. Los problemas también afectan al código de XWayland, el componente que permite ejecutar aplicaciones del sistema gráfico X dentro de entornos Wayland. La publicación citada no detalla niveles de severidad ni condiciones concretas de explotación.

La divulgación atribuye la detección a varios investigadores de seguridad y señala que el trabajo contó con asistencia de herramientas de inteligencia artificial y modelos de lenguaje, sin especificar cuáles ni describir cómo intervinieron en cada hallazgo.

El anuncio no presenta las ocho fallas como un único defecto, sino como problemas distintos asociados a funciones y rutas diferentes del código. Sus nombres técnicos apuntan a operaciones con imágenes, atributos de imagen, memoria compartida, identificadores de clientes y tamaños de solicitudes. La información publicada no permite determinar qué sistemas o configuraciones están expuestos en cada caso.

X.Org Server y XWayland forman parte de la infraestructura gráfica de sistemas basados en Linux y otros entornos compatibles con X. Por eso, los avisos interesan a quienes mantienen distribuciones, paquetes y equipos que utilizan esos componentes. La información citada no identifica productos concretos, versiones anteriores vulnerables ni el alcance de las instalaciones afectadas.

Los ocho identificadores divulgados

Entre los avisos figura CVE-2026-109091, denominado “X.Org Server EDID DS_RANGES Out-Of-Bounds Write”. También se divulgó CVE-2026-109092, “X.Org Server XvShmPutImage Shared-Memory Bounds Overflow”, cuyo nombre hace referencia a límites de memoria compartida en una operación de imágenes.

La lista incluye CVE-2026-109093, “X.Org Server XTestFakeInput Valuator Stack Out-Of-Bounds Write”, y CVE-2026-109904, “X.Org Server XRes QueryClientIds Request Size Overflow”. En ambos casos, el nombre del aviso apunta, respectivamente, a una escritura fuera de límites en la pila asociada a valuadores y a un desbordamiento relacionado con el tamaño de una solicitud.

Otros dos problemas corresponden a XRes y al componente glamor: CVE-2026-109094, “X.Org Server XRes QueryResourceBytes Swap Path Size Overflow”, y CVE-2026-109095, “X.Org Server glamor Xv Image Size Integer Overflow”. La fuente los enumera como vulnerabilidades separadas, pero no ofrece una descripción adicional de sus causas, posibles consecuencias ni circunstancias de uso.

Completan el conjunto CVE-2026-109096, “X.Org Server XvPutImage Negative Image Size Length Bypass”, y CVE-2026-109903, “X.Org Server XvQueryImageAttributes Negative Size Reply”. Sus nombres aluden a tamaños negativos en operaciones de imagen y en una respuesta de consulta, pero el reporte no afirma que todos los defectos puedan explotarse de la misma forma ni proporciona una evaluación comparativa del riesgo.

Qué sugieren los nombres técnicos y qué no se sabe

Varios avisos mencionan escrituras fuera de límites, desbordamientos o errores de tamaño, categorías que pueden aparecer cuando un programa procesa datos sin validar cuánto espacio necesita. Sin embargo, la información citada no confirma un resultado específico para estas fallas ni permite afirmar que conduzcan a ejecución de código o a una toma de control.

También aparecen referencias a valores negativos en las funciones XvPutImage y XvQueryImageAttributes, además de un “bypass” en el nombre de una de las fallas. Esos términos señalan aspectos del procesamiento de tamaños y longitudes, aunque no bastan para establecer qué entrada activa el problema, qué privilegios requeriría un atacante o si existe una vía práctica de explotación.

Phoronix enumera los identificadores y sus nombres, pero no publica en el material citado una puntuación de severidad, pruebas de explotación, productos específicos afectados o incidentes conocidos. Por tanto, no corresponde presentar las ocho vulnerabilidades como ataques activos ni asignarles un impacto que la divulgación no documenta.

El reporte también sitúa esta tanda en el contexto de otros problemas de seguridad identificados en el código de X.Org Server durante años. Esa observación ofrece contexto sobre la continuidad de las revisiones de seguridad en una pieza veterana de la infraestructura gráfica, pero no establece que la asistencia de inteligencia artificial haya causado las fallas ni que por sí sola explique el número de divulgaciones.

Versiones con correcciones disponibles

Las vulnerabilidades divulgadas están corregidas en xorg-server-21.1.26 y xwayland-24.1.15. El artículo “X.Org Security Advisory released for November 10th” también señala que se deben utilizar, al menos, esas versiones. La información disponible no detalla los cambios individuales ni precisa si cada arreglo aparece en ambas ramas.

Para administradores y responsables de paquetes, el dato práctico central es comprobar qué versión de cada componente ofrece su sistema y consultar las actualizaciones distribuidas por su proveedor. La información citada no incluye instrucciones de instalación ni enumera distribuciones o dispositivos que ya hayan publicado esos paquetes.

La diferencia entre los dos números de versión refleja que X.Org Server y XWayland tienen numeraciones propias. Quienes dependan de uno o de ambos componentes deben verificar por separado qué paquete tienen instalado, en lugar de asumir que actualizar uno actualiza automáticamente el otro.

Phoronix remitió a la publicación de xorg-announce para consultar más detalles sobre los avisos. La información disponible confirma la divulgación de ocho vulnerabilidades, su presencia también en el código de XWayland y la disponibilidad de correcciones en xorg-server-21.1.26 y xwayland-24.1.15; cualquier conclusión sobre explotación o gravedad requiere datos adicionales.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.

ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín