Linux te proporciona una computadora que tú controlas. Tú eliges la distribución, nada te obliga a iniciar sesión en una cuenta de fabricante y cualquiera puede leer el código fuente. Lo que no te da es un sistema que sea seguro por sí solo, y sus puntos débiles difieren de los de Windows o macOS.
Esta página trata sobre Linux para computadoras de escritorio y portátiles: distribuciones como Ubuntu, Fedora y Debian que instalas en un equipo. Android, ChromeOS y Qubes OS también usan el kernel de Linux pero funcionan de forma diferente, por lo que no los cubrimos aquí. Los datos sobre versiones y fechas corresponden a octubre de 2026.
Tras leer esto, sabrás qué protege a un escritorio Linux por defecto y qué no. También sabrás cuáles son las cuatro decisiones que más cambian tu nivel de riesgo: cómo obtienes las actualizaciones, de dónde consigues el software, si el disco está cifrado y cómo se confinan las aplicaciones.
Qué es Linux, en términos sencillos
Strictamente hablando, Linux es el kernel, el programa central que se comunica con tu hardware. Una distribución empaqueta ese kernel con un entorno de escritorio, un gestor de paquetes (la herramienta que instala y actualiza el software) y un conjunto de configuraciones por defecto. Cuando la gente dice que ejecuta Linux, se refiere a una distribución, y la distribución determina la mayor parte de tu seguridad.
Toma como ejemplo a dos personas que afirman ejecutar Linux. Una instaló Ubuntu 26.04 LTS, lanzada en abril de 2026, y obtiene el software de los repositorios que mantiene la distribución. La otra ejecuta Arch Linux e instala aplicaciones desde el Arch User Repository (AUR), una colección de recetas de instalación que cualquiera puede enviar. En junio de 2026, se descubrió que más de 400 de esas recetas habían sido modificadas para instalar un rootkit y un programa de robo de credenciales. Las dos personas comparten el mismo kernel, pero su nivel de exposición es totalmente diferente.
Cómo funciona la seguridad en Linux
Cuentas y falta de separación entre aplicaciones
Linux mantiene a los usuarios separados y coloca los archivos del sistema detrás de una contraseña de administrador (root). Por defecto, no separa los programas que ejecutas bajo tu propia cuenta entre sí. Un programa iniciado desde tu cuenta puede leer lo mismo que tu cuenta: tus documentos, tu perfil del navegador o tus claves SSH. Las propias notas de diseño de Flatpak describen el aislamiento de aplicaciones entre sí como uno de sus objetivos principales, lo que muestra el punto de partida del modelo tradicional. La mayoría de las protecciones descritas a continuación existen para añadir barreras donde este modelo carece de ellas.
Las actualizaciones provienen de tu distribución
El software llega a través del gestor de paquetes de tu distribución, y esta decide cuánto tiempo se mantiene cada versión. Las versiones Ubuntu LTS reciben cinco años de mantenimiento de seguridad estándar, y Ubuntu 26.04 LTS tiene cobertura hasta mayo de 2031. Ubuntu Pro, un servicio de suscripción, amplía la cobertura hasta mayo de 2036. Otras distribuciones publican sus propias fechas. Comprueba la tuya primero, porque una versión que ha superado su fecha límite deja de recibir soluciones.
El kernel recibe multitud de correcciones. El equipo del kernel se convirtió en su propia Autoridad de Numeración de CVE (el organismo que emite identificadores de vulnerabilidades CVE) en febrero de 2024, y su política es asignar un CVE a casi cualquier corrección de errores que pueda importar para la seguridad. El desarrollador del kernel Greg Kroah-Hartman escribió en diciembre de 2025 que el proyecto había pasado de la posición número 3 entre los emisores de CVE en 2024 a la número 1 en 2025, habiendo asignado su CVE número 10.000 a finales de 2025. Toma esto como un indicador de cuánto se corrige y no como una prueba de que Linux sea peor que otros sistemas. Esto implica que las actualizaciones llegan con frecuencia y debes instalarlas.
Las actualizaciones de firmware para portátiles y equipos de escritorio suelen distribuirse a través de fwupd y el Linux Vendor Firmware Service (LVFS). No todos los fabricantes de hardware publican allí, lo cual resulta relevante para el cambio de Secure Boot que se detalla a continuación.
Confinamiento: control de acceso, Flatpak y snaps
El control de acceso obligatorio es un conjunto de reglas aplicadas por el kernel que limitan lo que un programa puede tocar, incluso cuando se ejecuta bajo tu usuario. Fedora utiliza SELinux por defecto, mientras que Ubuntu y Debian usan AppArmor. Ubuntu señala que las peticiones de permisos por aplicación para paquetes snap siguen siendo experimentales y no están activadas por defecto en 26.04 LTS, por lo que no debes asumir que estos entornos aíslan a cada aplicación que ejecutas.
Flatpak y snap ejecutan las aplicaciones en entornos aislados (sandboxes). La documentación de Flatpak describe que el aislamiento por defecto no tiene acceso a procesos externos ni a servicios del sistema como X11, el D-Bus del sistema o PulseAudio. Sin embargo, el manifiesto de cada aplicación puede solicitar esos accesos, y el desarrollador principal de Flatpak ha señalado que una aplicación instalada obtiene los permisos que solicita a menos que los reclaves o modifiques. Una aplicación Flatpak con acceso a toda tu carpeta personal o a X11 está mucho menos confinada de lo que sugiere la etiqueta. El aislamiento solo es tan fuerte como los permisos que solicita la aplicación.
Servidor gráfico: X11 y Wayland
El servidor gráfico dibuja las ventanas y encamina los eventos del teclado y el ratón. En X11, el diseño tradicional, el desarrollador principal de Flatpak escribió en 2017 que resulta sencillo usar el protocolo para realizar múltiples acciones maliciosas, y otros análisis califican el registro de teclas (keylogging) en X11 de trivial. Wayland, su reemplazo, está construido de modo que las aplicaciones solo ven las entradas dirigidas a sus propias ventanas. A fecha de octubre de 2026, Ubuntu 26.04 LTS incluye por defecto una sesión de GNOME exclusiva para Wayland. Wayland no limita lo que un programa malicioso que se ejecute con tu usuario pueda hacer con tus archivos, por lo que complementa el aislamiento (sandboxing), pero no lo sustituye.
Secure Boot y el cambio de certificado de 2026
Secure Boot hace que el firmware de la computadora rechace arrancar código que no esté firmado por una clave de confianza. En la mayoría de las PCs, Linux arranca mediante un pequeño programa llamado shim. Microsoft firma shim, y luego shim carga el gestor de arranque y el kernel propios de la distribución, los cuales están firmados por la propia distribución.
El certificado de Microsoft que firma shim (Microsoft UEFI CA 2011) expiró el 26 o 27 de junio de 2026. Su reemplazo es válido hasta 2038. LWN informó el 1 de julio de 2026 que los sistemas que ya arrancan continuarán haciéndolo, ya que el firmware por lo general ignora las fechas de caducidad. Sin embargo, un sistema puede fallar al arrancar si su firmware carece del certificado de 2023 y recibe un nuevo shim firmado únicamente con este último. Las actualizaciones de firmware distribuidas mediante fwupd y LVFS pueden añadir el nuevo certificado. El autor del artículo, quien trabaja en la transición en Microsoft, advierte además que algunas actualizaciones forzadas han dejado ciertos equipos inoperables para el arranque, unos pocos de forma permanente. Para la mayoría de las personas en una distribución y hardware con mantenimiento, la propia distribución gestiona esto. Los equipos en riesgo son aquellos cuyo fabricante ha dejado de publicar actualizaciones de firmware.
Cifrado de disco
El cifrado completo de disco protege tus datos si un portátil se pierde o es robado mientras está apagado. No sirve de nada contra el malware en un sistema encendido y desbloqueado. Ubuntu 26.04 LTS convirtió el cifrado completo de disco respaldado por TPM en una función con soporte oficial. La clave se conserva en el chip de seguridad de la computadora en lugar de escribirse al arrancar. Canonical indica que mejoró la gestión de las claves de recuperación ante actualizaciones de firmware y documenta algunas incompatibilidades conocidas. Con el desbloqueo automático, ninguna frase de paso de disco se interpone entre un ladrón y tu pantalla de inicio de sesión, por lo que tu contraseña de usuario adquiere mayor importancia. Una guía de terceros señala que se puede configurar un PIN de arranque tras la instalación.
Distribuciones inmutables
Algunas distribuciones, como Fedora Silverblue, mantienen los archivos centrales del sistema en modo de solo lectura. Fedora Magazine describe esto como una medida que impide modificar archivos del sistema de forma arbitraria, donde las aplicaciones de escritorio se instalan a través de Flatpak y las instalaciones de paquetes tradicionales quedan confinadas en contenedores. Las actualizaciones se aplican de forma global y se pueden revertir (rollback). La contrapartida es una forma de trabajo diferente: algunos pasos habituales, como instalar un paquete del sistema, ya no se comportan como describen las guías más antiguas.
Frente a qué protege y frente a qué no
| Amenaza | Qué ayuda | Dónde se queda corto |
|---|---|---|
| Ladrón con un portátil apagado | Cifrado completo de disco | No ayuda en un equipo encendido y desbloqueado. El desbloqueo automático depende de la contraseña de inicio de sesión |
| Software malicioso desde un repositorio comunitario | Repositorios oficiales, aislamiento en Flatpak o snap | Cualquiera puede enviar recetas a AUR. Los entornos aislados pueden tener permisos muy amplios |
| Software manipulado en origen (upstream) (xz, 2024) | Versiones estables, actualizaciones rápidas | La puerta trasera llegó a las versiones de prueba y rolling release de varias distribuciones antes de ser descubierta |
| Otra aplicación capturando tus pulsaciones de teclas | Una sesión en Wayland, aislamiento (sandboxing) | No frena a un programa malicioso que se ejecute bajo tu mismo usuario |
| Manipulación del proceso de arranque | Secure Boot | El cambio de certificado de 2026 puede romper el arranque en hardware que no reciba actualizaciones de firmware |
Dos limitaciones quedan fuera de la tabla. El código de fuente abierta puede ser leído por cualquiera, pero eso no significa que alguien lo haya revisado. Además, depositas tu confianza en los mantenedores de tu distribución y en los paquetes que distribuyen, del mismo modo que confiarías en un fabricante en cualquier otro entorno.
Mitos comunes
“Linux no tiene malware.” Sí lo tiene. En junio de 2026, unos atacantes modificaron más de 400 paquetes de AUR para descargar un paquete npm malicioso que instalaba un rootkit y un robadatos (infostealer). Arch desactivó la adopción de paquetes en AUR el 30 de julio de 2026 tras una segunda ola de envíos maliciosos a paquetes huérfanos. Los informes iniciales sobre el recuento de junio varían, y un análisis posterior eleva la cifra por encima de los 1.500.
“Que sea de código abierto significa que alguien lo ha revisado.” La puerta trasera de xz (CVE-2024-3094) muestra esa brecha. Un actor dedicado pasó unos dos años obteniendo el estado de mantenedor en el proyecto de compresión xz y luego introdujo una puerta trasera oculta en las versiones 5.6.0 y 5.6.1 que habría permitido acceso remoto a través de SSH. El ingeniero Andres Freund la descubrió en marzo de 2024. Llegó a versiones de desarrollo y rolling release de Fedora, Debian, Kali y openSUSE, y Kaspersky afirmó no haber encontrado casos de explotación activa. Se detectó, lo cual es positivo, pero nadie había planificado su hallazgo.
“Un paquete Flatpak o snap está en un entorno aislado (sandboxed), por lo que es seguro.” Solo en la medida en que lo permitan sus permisos. Una aplicación que solicita acceso a tu carpeta personal puede leer toda tu carpeta personal.
Qué hacer
- Elige una versión con soporte y activa las actualizaciones automáticas. Consulta la fecha de fin de soporte de tu distribución y configura las actualizaciones para que se instalen automáticamente. Es la medida que cubre la amenaza que afecta a más gente y es el paso más sencillo.
- Sé estricto con el origen del software. Utiliza primero los repositorios oficiales de tu distribución y después Flatpak o snap. Trata los repositorios comunitarios como AUR y los scripts ejecutados directamente desde la web como código escrito por desconocidos. Los incidentes de 2024 y 2026 llegaron a través de ese tipo de canales.
- Cifra el disco durante la instalación. Es más fácil elegir esta opción en el momento de la instalación. Guarda la clave de recuperación en un lugar distinto al portátil y decide si prefieres un PIN de arranque o el desbloqueo automático.
- Mantén el firmware actualizado y Secure Boot activado. Habilita fwupd o el actualizador de firmware de tu distribución, y lee las notas de tu distribución antes de realizar grandes actualizaciones debido al cambio de certificado de 2026. Si el fabricante ha dejado de emitir actualizaciones de firmware, prevé posibles dificultades.
- Revisa los permisos de las aplicaciones y prefiere una sesión de Wayland. Para las aplicaciones Flatpak, revisa lo que solicita cada una y revoca accesos amplios (como la carpeta personal completa) si la aplicación sigue funcionando sin ellos.
- Considera una distribución inmutable si deseas capacidad de reversión (rollback). Resulta adecuada para personas que utilizan principalmente el navegador y aplicaciones de escritorio, y encaja peor si dependes de la instalación de paquetes del sistema tradicionales.
Si no estás seguro de cuánto de esto es relevante en tu caso, empieza por el modelado de amenazas. Para comparar Linux con el sistema operativo de un teléfono móvil, consulta la descripción general de iOS.
Lo que esta página no cubre
No hemos cubierto servidores Linux ni contenedores, sistemas enfocados en la privacidad como Tails, Whonix y Qubes OS, el endurecimiento (hardening) del kernel y parámetros de arranque, ajustes de privacidad como la aleatorización de la dirección MAC, ni la compatibilidad con hardware o videojuegos. Tampoco hemos comparado distribuciones individuales. Cada uno de estos temas merece su propia página.
Fuentes
- Linux CVEs, more than you ever wanted to know. Greg Kroah-Hartman, Linux Kernel Monkey Log, diciembre de 2025.
- Kernel CNA statistics post (10,000th CVE). Greg Kroah-Hartman, social.kernel.org, 2025.
- Linux Kernel Project Becomes CVE Numbering Authority. ADMIN Magazine, febrero de 2024.
- Secure Boot certificate expiration is here. Brian Exelbierd, LWN.net, 1 de julio de 2026.
- What’s new in security for Ubuntu 26.04 LTS?. Canonical, 10 de abril de 2026.
- Ubuntu release cycle. Canonical, 2026.
- Ubuntu 26.04 LTS: Best New Features. DebugPoint, 2026.
- Ubuntu 26.04 LTS Resolute Raccoon: A Complete Guide to What’s New. Serverspace, 2026.
- Sandbox Permissions. Documentación de Flatpak, sin fecha.
- The flatpak security model, part 2: Who needs sandboxing anyway?. Alexander Larsson, GNOME Blogs, 2017.
- GNOME 50: Wayland-Only Brings Enhanced Security and Isolation. LinuxSecurity.com, sin fecha.
- AppArmor vs. SELinux: Comprehensive Comparison. phoenixNAP, sin fecha.
- Fedora Silverblue, an introduction for developers. Fedora Magazine, sin fecha.
- How to find systems impacted by CVE-2024-3094 (XZ Utils). runZero, 2024.
- Malicious code discovered in Linux distributions. Kaspersky, 2024.
- Malicious maintainer introduces sophisticated backdoor in xz. CNCF TAG Security, 2024.
- Over 400 Arch Linux packages compromised to push rootkit, infostealer. BleepingComputer, 12 de junio de 2026.
- Arch Linux AUR Malware Campaign Halts Package Adoption and Pushes. Hexnode, 3 de agosto de 2026.
- How to Use the AUR Safely: Lessons from the June 2026 AUR Malware Attack. OSTechNix, 2026.