# Informe Jepsen de ParticleDB, memoria USB con huella digital de Lenovo, HackerTube de Karpathy y el error TCP de Linux CVE-2026-98432: cuatro historias de desarrolladores en un Daily Diff

Published: 2026-11-02

Cuatro historias de desarrolladores, cada una atribuida a su fuente. El análisis de Jepsen de la base de datos ParticleDB encontró 96 problemas, incluyendo escrituras comprometidas perdidas en el modo de transacción predeterminado de la última versión que probaron, y recomienda detener el despliegue; la prueba fue financiada por Orkes, que dice que su próxima versión lo arregla todo. Una memoria USB ThinkPlus FU100 de Lenovo con huella digital, vendida como cifrada con AES-256, contenía una tarjeta SD común sin cifrado, según el investigador Xusheng Li, informado por Tom's Hardware. Andrej Karpathy construyó HackerTube, un sitio de 6.454 videos de YouTube recomendados en los comentarios de Hacker News, en unas dos horas. Y el CVE-2026-98432 del kernel de Linux, un use-after-free de IPv4 TCP con una puntuación de 9.8, necesita un kernel parcheado y un reinicio. El veredicto es REVERTIR.

Canonical: https://thedailydiff.dev/es/video/2026-11-01-particledb-lenovo-tcp-hackertube/

## Qué cubre este vídeo

- Jepsen, el laboratorio de pruebas de bases de datos dirigido por Kyle Kingsbury, publicó su análisis de ParticleDB el 31 de octubre de 2026. ParticleDB es una base de datos de Rust de Orkes dirigida a agentes de IA; Orkes financió el trabajo. Jepsen probó las versiones 1.1.4 a 1.1.18.11.rc-22 en un solo nodo y presenta 96 problemas, la mayoría de los cuales necesitaron un servidor, un cliente y ninguna falla. Ejemplos en el informe: una cláusula WHERE 4 = 5 devolvía filas con la clave principal 5, WHERE TRUE no coincidía con nada, y un UPDATE podía dejar varias filas con la misma clave principal.
- La página de inicio de ParticleDB anunciaba "ACID completo. 159K TPS." y una prueba TLA+, pero Jepsen dice que no había ninguna especificación TLA+ disponible durante la colaboración, y el texto bajo "ACID completo" decía aislamiento de instantáneas. En la versión 1.1.18.11.rc-22, la última versión probada por Jepsen, el modo de transacción occ predeterminado seguía perdiendo escrituras comprometidas durante el funcionamiento normal, y el modo serializable más estricto permitía la "Actualización Perdida" después de la eliminación de procesos. Orkes dice que la versión 1.1.19-rc.13 resuelve todos los problemas restantes; Jepsen no la ha evaluado y recomienda que los usuarios detengan el despliegue de ParticleDB y migren a otras bases de datos.
- El investigador de seguridad Xusheng Li descubrió que la memoria USB ThinkPlus FU100 de Lenovo con huella digital, comercializada como cifrada por hardware con AES-256, contenía una tarjeta SD normal cuyos datos no estaban cifrados; el lector de huellas digitales solo activaba la conexión USB. Lo informó el 2 de agosto de 2025, y la primera solución de Lenovo fue una capa de epoxi sobre la tarjeta SD. Lenovo calificó su aviso como alto, y una solución posterior para la FU100 y las unidades relacionadas requiere llamar a una línea de servicio en China, luego un reemplazo o una actualización de firmware in situ, según Tom's Hardware.
- En un seguimiento informado por Tom's Hardware, Li utilizó Codex de OpenAI con la herramienta de ingeniería inversa de su empleador contra el software de protección USB de otros fabricantes; el de Netac tardó unos siete minutos porque tenía una clave fija incorporada y escribía la contraseña en los registros de diagnóstico, y la unidad de otro proveedor tenía dos cuentas ocultas que Li llama puertas traseras. Para los datos en una memoria USB, cifre los archivos con el software que controle antes de que lleguen al dispositivo.
- El 31 de octubre de 2026, Andrej Karpathy describió HackerTube, un sitio estilo YouTube en hackertube.org construido con su agente de codificación en unas dos horas. El agente descargó los comentarios de Hacker News, filtró el spam y mantuvo unos 40.000 que recomendaban un video de YouTube, lo que produjo 6.454 videos de 2007 a 2026 en 150 temas. El sitio muestra el fotograma a la mitad en lugar de la miniatura subida. Karpathy enumera sus pasos manuales como una clave API de Google Cloud, un servidor y un dominio.
- CVE-2026-98432 es un uso después de liberar en el handshake TCP IPv4 del kernel de Linux, con una puntuación CVSS de 9.8, accesible por un par remoto sin inicio de sesión. La corrección de Eric Dumazet reemplazó dos llamadas simples a kfree con kfree\_rcu en un commit con fecha del 1 de octubre; los kernels estables con la corrección se enviaron el 11 y 15 de octubre, y el error se remonta a Linux 4.4. Red Hat elevó su calificación de Importante a Crítica el 30 de octubre. Ubuntu y Red Hat Enterprise Linux no enumeraban ningún kernel corregido el sábado por la noche, 31 de octubre. Instale el kernel corregido de su distribución y reinicie, incluidos los hosts de contenedores, porque los contenedores comparten el kernel del host.
- Anthropic dice que Claude escribió un exploit funcional para servidores Linux con un oyente TCP multipath, y que en su prueba de concepto tarda 48 minutos en filtrar un puntero del kernel y cinco minutos más en ejecutar un comando de shell; el exploit no se ha publicado. El equipo de seguridad de Go señala que los programas Go habilitan los oyentes TCP multipath por defecto desde Go 1.24 y advierte que los sistemas sin ese oyente pueden ser vulnerables a ataques similares. Red Hat y AlmaLinux publican una regla de firewall que descarta los paquetes TCP IPv4 con opciones IP, lo que Red Hat dice que reduce la exposición y no evita completamente la explotación.

## Preguntas y respuestas

### ¿Qué encontró Jepsen en la base de datos ParticleDB y qué recomienda?

El análisis de Jepsen de ParticleDB, publicado el 31 de octubre de 2026 y financiado por Orkes, presenta 96 problemas en las versiones 1.1.4 a 1.1.18.11.rc-22, incluyendo WHERE 4 = 5 que devolvía filas. En la última versión probada, el modo de transacción predeterminado seguía perdiendo escrituras comprometidas durante el funcionamiento normal. Jepsen recomienda a los usuarios detener el despliegue de ParticleDB y migrar a otras bases de datos.

### ¿La memoria USB con huella digital ThinkPlus FU100 de Lenovo estaba realmente cifrada con AES-256?

Según el investigador Xusheng Li, según lo informado por Tom's Hardware y HackingPassion, la FU100 se comercializaba como cifrada por hardware con AES-256, pero contenía una tarjeta SD normal sin nada cifrado. El lector de huellas digitales solo habilitaba la conexión USB. La primera solución de Lenovo fue epoxi sobre la tarjeta, y una solución posterior requiere llamar a una línea de servicio en China para un reemplazo o una actualización de firmware in situ.

### ¿Qué es HackerTube y cómo lo construyó Andrej Karpathy?

HackerTube en hackertube.org es un sitio estilo YouTube con 6.454 videos recomendados en los comentarios de Hacker News de 2007 a 2026, en 150 temas. La publicación de Karpathy dice que su agente de codificación descargó los comentarios, filtró el spam y mantuvo unos 40.000 que recomendaban un video, y que la construcción lleva unas dos horas. Sus pasos manuales fueron una clave API de Google Cloud, un servidor y un dominio.

### ¿Cómo soluciono el CVE-2026-98432 del kernel de Linux y qué distribuciones tienen un kernel parcheado?

Instale el kernel corregido de su distribución y reinicie, incluidos los hosts de contenedores y los nodos de Kubernetes, ya que los contenedores comparten el kernel del host. La falla es un use-after-free de IPv4 TCP con una puntuación CVSS de 9.8, corregido upstream en kernels estables el 11 y 15 de octubre. Según Atlas el 31 de octubre, Debian, SUSE y Amazon Linux tenían correcciones, mientras que Ubuntu y Red Hat Enterprise Linux no; Red Hat publica una mitigación de firewall que reduce la exposición.

### ¿Cuál fue el veredicto de The Daily Diff sobre estas cuatro historias?

El veredicto de The Daily Diff fue REVERTIR. El consejo de Jepsen sobre ParticleDB es detener el despliegue y migrar, y el error del kernel de Linux CVE-2026-98432 necesita un kernel parcheado y un reinicio, con la propia prueba de concepto de Anthropic que tarda 48 minutos en filtrar un puntero del kernel y cinco más en ejecutar un comando de shell.

## Capítulos

- 0:00 Inicio en frío: ¿cómo dice una cláusula where que cuatro es igual a cinco?
- 0:44 Primera historia: ¿qué encontró Jepsen en ParticleDB?
- 2:17 Segunda historia: ¿qué había dentro de la memoria USB con huella digital de Lenovo?
- 3:31 Tercera historia: ¿qué construyó Karpathy en una mañana?
- 4:22 Cuarta historia: ¿qué parcheas para CVE-2026-98432?
- 5:43 Volviendo al cronómetro: ¿cuánto tardó el exploit?
- 6:02 Veredicto: REVERTIR

## Transcripción traducida

Traducido de la narración original en inglés. El audio y los subtítulos disponibles están controlados por YouTube.

### Inicio en frío: ¿cómo dice una cláusula where que cuatro es igual a cinco?

0:00 Una base de datos que anuncia ACID completo se supone que mantiene lo que escribes. Jepsen probó una y encontró noventa y seis problemas, incluyendo una cláusula where que decía que cuatro era igual a cinco y aun así devolvía filas. En este video, cuatro historias. ¿Qué encontró Jepsen en una base de datos que afirmaba ser ACID completo? ¿Qué había dentro de una memoria USB con huella digital vendida como cifrada? ¿Qué construyó Andrej Karpathy en una mañana? ¿Y qué parcheas para un error de red de Linux?

0:26 Uno de esos errores viene con un cronómetro. Te lo leeré al final. Es domingo, primero de noviembre, y este es The Daily Diff. Jepsen es el laboratorio de pruebas de Kyle Kingsbury. Ejecuta una base de datos a través de cargas de trabajo y fallas reales y verifica si las garantías del sitio web se cumplen. Piensa en un inspector que realmente abre la nevera.

### Primera historia: ¿qué encontró Jepsen en ParticleDB?

0:44 Historia uno. El sábado Jepsen publicó su informe sobre ParticleDB, una base de datos de Rust de Orkes dirigida a agentes de IA. Orkes pagó por el trabajo. La página de inicio decía ACID completo, ciento cincuenta y nueve mil transacciones por segundo. Jepsen probó ParticleDB desde su primera compilación 1.1 hasta un candidato de lanzamiento tardío. El sitio lo llamó formalmente probado, con una prueba TLA+. Jepsen dice que no había ninguna especificación TLA+ disponible durante el trabajo.

1:10 Debajo de la línea ACID completo, la misma página decía aislamiento de instantáneas, que no está completamente aislado. Los errores no eran sutiles. La mayoría necesitaba un servidor, un cliente y ninguna falla inyectada. Una cláusula where que decía que cuatro era igual a cinco devolvía filas. Una cláusula where que decía true no coincidía con nada. Las actualizaciones dejaban dos filas con la misma clave principal. La última versión probada por Jepsen, la candidata a lanzamiento veintidós,

1:36 era mucho más segura. Aun así, el modo de transacción predeterminado perdía escrituras comprometidas durante el funcionamiento normal. El modo más estricto seguía permitiendo actualizaciones perdidas después de un cierre de proceso. Orkes dice que su próxima versión arregla todo esto. Jepsen no lo ha probado. Así que en esa última versión una base de datos que prometía ACID completo podía perder una escritura que ya había comprometido. La velocidad, supongo, era excelente.

2:00 El consejo de Jepsen es claro. Detenga el despliegue de ParticleDB y migre a otra base de datos tan pronto como sea posible. Orkes culpa a una refactorización de primavera y dice que sus propios clientes, en una versión anterior, probablemente no se vieron afectados. Los documentos del procedimiento almacenado incluso inventaron una dirección de correo electrónico para Kyle Kingsbury. Historia dos. La Lenovo ThinkPlus FU cien es una memoria USB con huella digital

### Segunda historia: ¿qué había dentro de la memoria USB con huella digital de Lenovo?

2:21 comercializada como cifrada por hardware con AES doscientos cincuenta y seis. El investigador de seguridad Xusheng Li desmontó una y encontró una tarjeta SD ordinaria, sin nada cifrado. El lector de huellas dactilares decidía una cosa, si la memoria se conectaba al ordenador. Los archivos de la tarjeta nunca dependían de ello. Li informó de la falla a Lenovo en agosto de dos mil veinticinco. La primera solución fue una capa de epoxi sobre la tarjeta SD. Así que los archivos nunca fueron cifrados.

2:47 Espera, ¿es solo una tarjeta SD? Siempre lo ha sido. Lenovo calificó su propio aviso como alto. La solución posterior, para la FU cien y tres unidades relacionadas, significa llamar a una línea de servicio en China, luego enviar la unidad de vuelta o obtener una actualización de firmware in situ. Lenovo aconseja borrar la unidad primero. La semana pasada, Li dirigió el Codex de OpenAI, además de la herramienta de ingeniería inversa de su empleador,

3:09 al software de protección USB de otros fabricantes. El de Netac tardó unos siete minutos, porque tenía una clave fija incorporada y escribía la contraseña en los registros de diagnóstico. Una unidad tenía dos cuentas ocultas que Li llama puertas traseras. Si la seguridad de una unidad es el hardware, verifícalo tú mismo. Cifra los archivos con el software que controlas antes de que lleguen a la memoria, y trata la huella dactilar como una comodidad.

### Tercera historia: ¿qué construyó Karpathy en una mañana?

3:31 Historia tres, la ligera. El viernes por la noche Andrej Karpathy abrió YouTube, vio lo que llamó un muro de basura "enshittificado", y el sábado por la mañana le dijo a su agente de codificación que construyera un reemplazo a partir de lo que recomendara Hacker News. El agente descargó los comentarios de Hacker News, filtró el spam, y guardó unos cuarenta mil que recomendaban un video de YouTube. Eso dejó seis mil cuatrocientos cincuenta y cuatro videos, desde dos mil siete hasta ahora, en ciento cincuenta temas.

3:58 El sitio es hackertube.org. Muestra el fotograma a la mitad en lugar de la miniatura que el subidor eligió, lo cual molesta un poco. Karpathy dice que toda la construcción tardó unas dos horas. Sus únicos pasos manuales fueron una clave API de Google, un servidor y un dominio. El doce de octubre te dije que Karpathy cree que el acceso y las tareas crean una brecha en cómo la gente entiende estas herramientas. Dos horas de trabajo es un buen punto de datos.

4:21 Historia cuatro, en la que hay que actuar.

### Cuarta historia: ¿qué parcheas para CVE-2026-98432?

4:23 CVE dos mil veintiséis, noventa y ocho mil cuatrocientos treinta y dos es un use-after-free en el handshake TCP I P v cuatro del kernel de Linux, con una puntuación de nueve punto ocho sobre diez. Un par remoto sin inicio de sesión puede alcanzarlo. Eric Dumazet escribió la corrección el primero de octubre. La corrección llegó a los kernels estables el once y el quince de octubre, y el error se remonta a Linux cuatro punto cuatro. Red Hat elevó su calificación de importante a crítica el treinta de octubre. El sábado por la noche, Ubuntu y Red Hat Enterprise Linux todavía no tenían ningún

4:52 kernel corregido. Anthropic dice que Claude escribió un exploit funcional para servidores con un oyente TCP multipath, y los programas Go los han abierto por defecto desde Go uno punto veinticuatro. El equipo de Go advierte que los sistemas sin ese oyente pueden ser vulnerables a ataques similares, y dice que la mejor solución es un kernel parcheado. Si su distribución aún no tiene un kernel corregido, Red Hat y AlmaLinux publican una regla de firewall que descarta los paquetes TCP I P v cuatro que contienen opciones I P. Red Hat dice que reduce la exposición y no puede prevenirla por completo.

5:23 Después de eso, esperas. Qué hacer hoy. Instale el kernel corregido de su distribución y reinicie, también en hosts de contenedores y nodos de Kubernetes, porque los contenedores comparten el kernel del host. Debian, Suse y Amazon Linux ya tienen correcciones. Si aún no puede parchear, comience con los hosts que ejecutan oyentes TCP multipath. Ahora el cronómetro que prometí.

### Volviendo al cronómetro: ¿cuánto tardó el exploit?

5:44 En la propia prueba de concepto de Anthropic, se tardan cuarenta y ocho minutos en filtrar un puntero del kernel, y luego cinco minutos más en ejecutar un comando de shell. Anthropic no ha publicado el exploit. Si prefieres leer esto antes que oírme decirlo, el diff llega a tu bandeja de entrada cada mañana, gratis en thedailydiff.dev, enlace abajo.

### Veredicto: REVERTIR

6:02 Así que el veredicto de hoy es REVERTIR. Yo revertiría ParticleDB, porque el consejo de Jepsen es detener el despliegue, y parchearía ese kernel, porque viene con un cronómetro. Y ese es el diff de hoy. Soy Niko de Axrisi. Fusiona con responsabilidad.

## Fuentes

- [Jepsen: ParticleDB 1.1.4 (Kyle Kingsbury, October 31, 2026)](https://jepsen.io/analyses/particledb-1.1.4) — Jepsen
- [Lenovo's 'encrypted' fingerprint USB drive is just an unencrypted SD card in a fancy case](https://www.tomshardware.com/tech-industry/cyber-security/lenovo-fingerprint-usb-stick-sold-as-aes-256-encrypted-had-a-plain-sd-card-inside-ai-assisted-follow-up-finds-a-backdoor-and-hardcoded-keys-in-other-secure-usb-products) — Tom's Hardware
- [Lenovo ThinkPlus Fingerprint USB Drive Sold as Encrypted Was a Plain SD Card Inside](https://hackingpassion.com/lenovo-thinkplus-encrypted-usb-sd-card/) — HackingPassion
- [HackerTube](https://karpathy.bearblog.dev/hacker-tube/) — Andrej Karpathy
- [CVE-2026-98432](https://ubuntu.com/security/CVE-2026-98432) — Ubuntu Security
- [RHSB-2026-016: Use-after-free - kernel IPv4 (CVE-2026-98432)](https://access.redhat.com/security/vulnerabilities/RHSB-2026-016) — Red Hat
- [ipv4: free inet\_opt and ireq\_opt after an RCU grace period](https://github.com/torvalds/linux/commit/e3f33b0a1d89d738e2b913dab519226eaf76e15b) — Linux kernel (Eric Dumazet)
- [Discovering and exploiting vulnerabilities in critical, real-world software with Claude](https://www.anthropic.com/research/discovering-vulnerabilities-with-claude) — Anthropic
- [Protecting against CVE-2026-98432 when using Go programs](https://www.openwall.com/lists/oss-security/2026/10/30/1) — Go Security Team via oss-security
- [Linux's October 2026 TCP Use-After-Free: CVE-2026-98432](https://atlasum.net/blog/cve-2026-98432-linux-ipv4-tcp-uaf) — Atlas