Comparación entre KernelCare y
Oracle Ksplice

Oracle fue pionera en la aplicación de parches en Linux sin necesidad de reiniciar el sistema. Ksplice lleva aplicando correcciones al núcleo de servidores en funcionamiento desde mucho antes de que la mayoría de los proveedores lanzaran al mercado soluciones comparables. La tecnología funciona. La verdadera pregunta es cuánto te cuesta utilizarla.

Ksplice no es un producto independiente. Se trata de una función de Oracle Linux Premier Support, por lo que la aplicación de parches sin reinicio viene incluida en una costosa suscripción al servicio de soporte de Oracle y, cada vez más, con el kernel de Oracle. Solo aplica parches en tiempo real a una selección de vulnerabilidades, incluso entre las críticas e importantes; corrige las bibliotecas críticas del espacio de usuario únicamente tras un reinicio único que deja fuera de servicio gran parte de la pila; y obliga a los sistemas a utilizar el kernel de Oracleantes de poder aplicarles los parches. El resultado es una aplicación de parches en tiempo real que deja brechas de seguridad, obliga a tiempos de inactividad y empuja progresivamente tu entorno hacia Oracle.

KernelCare, de TuxCare, se ha diseñado precisamente para evitar eso. Corrige in situ todas las vulnerabilidades del núcleo y del espacio de usuario críticas, independientemente de la distribución que ya utilice el sistema, por 50 dólares al año por sistema. La comparación que figura a continuación detalla en qué aspectos difieren ambas soluciones.

	Oracle Ksplice	KernelCare
Distribuciones compatibles	Oracle Linux (UEK / núcleos compatibles con Red Hat) y Ubuntu; los núcleos de RHEL no son compatibles	Oracle Linux 6 – 10, Ubuntu, Debian, RHEL, AlmaLinux, Rocky y muchos otros
Vulnerabilidades parcheadas	🟡 CVE importantes y críticos seleccionados	✅ Todas las vulnerabilidades CVE, independientemente de su gravedad
Arquitecturas compatibles	x86-64, arm64	x86-64, arm64
Cobertura del espacio de usuario crítico (OpenSSL, glibc)	🟡 Sí, pero solo para compilaciones compatibles con Ksplice en Oracle Linux (no en Ubuntu), y con un reinicio único	✅ Sí
Vida útil de los parches del núcleo	🟡 Finaliza cuando el kernel deja de figurar en la lista de productos con soporte o cuando caduca el servicio de soporte Premier.	✅ Prácticamente ilimitado
Aplicación de parches en tiempo real para sistemas operativos al final de su ciclo de vida	🟡 Solo a través del complemento de pago «Oracle Linux Extended Support», cuya cobertura se limita exclusivamente a las erratas críticas.	✅ Oracle Linux 6 y 7, además de Ubuntu, RHEL, AlmaLinux y muchos otros
Función de reversión sin reinicio	✅ Sí	✅ Sí
Gestión centralizada con aislamiento físico	❌ La opción de alojamiento propio ya no es compatible	✅ Incluido (ePortal)
API disponible	✅ Sí	✅ Sí
Entrega de parches personalizados	❌ No disponible	✅ Totalmente gestionado
Complementos	-	LibCare, parches personalizados
Coste	Soporte técnico Oracle Linux Premier: 1.399 $ por par de CPU al año (Premier Plus: 2.499 $)	Desde 50 $ por sistema al año; precios por volumen disponibles

El gráfico muestra en qué puntos divergen ambos. El resto de esta comparación analiza lo que supone cada diferencia para los sistemas que utilizas en la práctica.

Son pocos los entornos que utilizan una única distribución, por lo que lo primero que hay que preguntarse sobre una herramienta de aplicación de parches es qué parte de la mezcla puede abarcar. En el marco del servicio Premier Support, Ksplice mantiene los núcleos UEK y RHCK de Oracle, así como Ubuntu. Es importante destacar que Oracle ya no mantiene los parches de Ksplice para el núcleo de RHEL, por lo que el propio RHEL queda fuera del conjunto que cubre.

KernelCare adopta la postura contraria. Aplica parches en tiempo real a más de 70 versiones de distribuciones de forma predeterminada —RHEL, AlmaLinux, Rocky Linux, Ubuntu, Debian, Oracle Linux, Amazon Linux, CloudLinux y muchas otras—, por lo que una única herramienta y un único flujo de trabajo bastan para cubrir un entorno mixto.

El objetivo principal de la aplicación de parches en tiempo real es corregir vulnerabilidades rápidamente, por lo que la primera pregunta es cuáles corrige realmente una herramienta. Según nuestra propia investigación, Ksplice solo corrige una selección incluso de los CVE clasificados como «críticos» e «importantes». Oracle también asigna sus propias clasificaciones de gravedad, que pueden ser inferiores a la puntuación que recibe un CVE en la Base de Datos Nacional de Vulnerabilidades. Esas clasificaciones se basan en configuraciones estándar, por lo que una falla a la que Oracle no da prioridad puede seguir suponiendo un riesgo real en determinadas configuraciones. Al no haber ningún parche en tiempo real disponible, la corrección tendrá que esperar hasta la próxima actualización del kernel y un reinicio.

KernelCare elimina las incertidumbres al aplicar parches en tiempo real a todas las vulnerabilidades CVE del núcleo, independientemente de su nivel de gravedad, por lo que tu cobertura no depende de la puntuación que se le haya asignado a una vulnerabilidad CVE concreta.

La aplicación de parches en tiempo real debería garantizar la seguridad de todo el sistema sin necesidad de reinicios, pero la mayoría de las herramientas nunca tocan las bibliotecas críticas de OpenSSL y glibc. Ksplice sí ofrece la aplicación de parches críticos en el espacio de usuario, pero solo para versiones de bibliotecas compatibles con Ksplice, que aún así requieren un reinicio único. Dado que estas bibliotecas subyacen a casi todo lo que se ejecuta, ese reinicio puede suponer la interrupción de gran parte de la pila.

KernelCare subsana esta carencia con LibCare, aplicando parches a las bibliotecas compartidas de OpenSSL y glibc en memoria en todas las distribuciones compatibles, sin necesidad de reiniciar las aplicaciones que dependen de ellas. La aplicación de parches en el espacio de usuario crítico sin tiempo de inactividad permite a los equipos cumplir los plazos de corrección de PCI DSS y FedRAMP, así como satisfacer los requisitos de seguridad de SOC 2 e HIPAA en sistemas que no pueden desconectarse de la red.

Con Ksplice, las actualizaciones se mantienen mientras el núcleo figure en la lista de mantenimiento de Oracle y tu suscripción Premier esté activa. En el momento en que se produzca cualquiera de estas dos situaciones —cuando el núcleo deje de figurar en la lista o finalice la suscripción—, tendrás que ejecutar «yum update» y reiniciar el sistema para seguir recibiendo las correcciones.

KernelCare no establece ningún plazo de caducidad para la aplicación de parches. Aplica parches al núcleo cargado mientras este siga en funcionamiento, sin necesidad de reiniciar el sistema de forma forzada para mantener la protección.

Es habitual que las cargas de trabajo sigan en funcionamiento una vez finalizado el periodo de soporte de su distribución. Una vez que este finaliza, dejan de publicarse las actualizaciones de seguridad del proveedor, y a menudo se trata precisamente de los sistemas que menos te puedes permitir reiniciar o reinstalar; por eso es tan importante la aplicación de parches en tiempo real. Ksplice sigue aplicando parches a una versión una vez finalizado ese periodo solo si adquieres el «Soporte ampliado de Oracle Linux», que limita la cobertura a las erratas críticas, tiene una duración de solo unos años más y se aplica únicamente a Oracle Linux.

KernelCare, por el contrario, sigue ofreciendo parches en tiempo real para distribuciones que han llegado al final de su ciclo de vida, como Oracle Linux 6 y 7, de modo que los sistemas que no puedas retirar según lo previsto sigan estando protegidos mientras planificas la migración según tu propio calendario.

A cualquier escala real, la aplicación de parches en tiempo real debe gestionarse de forma centralizada, cada vez más en redes sin acceso a Internet. Tanto Ksplice como KernelCare pueden introducir parches en una red aislada. La diferencia radica en la gestión. Con Ksplice, el producto autohospedado que centraliza esta tarea, Oracle Linux Manager, ya no cuenta con soporte técnico, y su sustituto, OS Management Hub, debe permanecer conectado a la nube de Oracle. En un entorno verdaderamente aislado, no queda más remedio que mantener manualmente los servidores espejo locales y los clientes sin conexión.

KernelCare incluye ePortal, un servidor de parches autohospedado que se ejecuta dentro de la red aislada sin ningún coste adicional de licencia. Te ofrece fuentes de datos, implementaciones por fases, despliegue controlado e inventario a nivel local, de modo que la capa de gestión se encuentra dentro del «air gap» en lugar de en la nube de un proveedor.

Algunos entornos necesitan una corrección que el proveedor no ha publicado, o un parche adaptado a su propia configuración. Ksplice no ofrece ningún tipo de parches personalizados. Su catálogo se limita a lo que Oracle publica para los componentes de Oracle Linux, por lo que cualquier elemento que no forme parte de ese conjunto simplemente no está disponible.

KernelCare ofrece parches personalizados totalmente gestionados que los ingenieros de TuxCare crean, prueban y mantienen por ti, incluidas versiones especiales y configuraciones no estándar. De este modo, obtienes la solución que necesitas sin tener que asumir el trabajo ni el riesgo que supone crear parches en tiempo real de forma interna.

KernelCare tiene un precio a partir de 50 dólares por sistema al año para la aplicación de parches en tiempo real del núcleo y funciona en tu sistema operativo actual sin necesidad de suscripción a Oracle ni de migrar el núcleo. La aplicación de parches en tiempo real en el espacio de usuario para OpenSSL y glibc está disponible a través del complemento LibCare. Ksplice, por el contrario, no conlleva ningún coste adicional, sino que se incluye en el servicio Oracle Linux Premier Support, cuyo precio es de 1.399 dólares por par de CPU al año (Premier Plus: 2.499 dólares).

La diferencia es más acusada a escala de parque informático. La cobertura completa sin necesidad de reinicio para 100 sistemas cuesta unos 5.000 dólares al año con KernelCare. El mismo parque informático con Oracle Linux Premier Support tiene un precio de catálogo de aproximadamente 139.900 dólares al año —unas 28 veces más— sin contar el coste de ingeniería que supone migrar los sistemas que no son de Oracle al kernel de Oracle.

Si tu empresa ya cuenta con el servicio Oracle Linux Premier Support, Ksplice ya está incluido en el paquete, por lo que puede parecer la opción más lógica. El objetivo de esta comparación es mostrar lo que ese paquete exige al resto de usuarios:

• Solo aplica parches en tiempo real a una selección de vulnerabilidades, incluso de las de nivel «crítico» e «importante», dejando el resto para la próxima actualización del núcleo y un reinicio.
• RHEL y otros sistemas tienen que migrar al núcleo de Oracle.
• La aplicación de parches en el espacio de usuario requiere compilaciones de bibliotecas compatibles con Ksplice y está restringida a Oracle Linux.
• La cobertura solo estará vigente mientras mantengas una suscripción Premier activa.
• Cada uno de sus componentes te sumerge cada vez más en la pila tecnológica de Oracle.

KernelCare se ha diseñado para eliminar esas limitaciones. Aplica parches de forma continua al núcleo y al espacio de usuario, independientemente de la gravedad y mucho más allá del fin de la vida útil, con parches personalizados totalmente gestionados y gestión «air-gapped» incluida, por una fracción del coste de una suscripción Premier. Así pues, tanto si gestiona un entorno mixto, como si cuenta con un parque de RHEL que prefiere no migrar al núcleo de Oracle, o simplemente desea evitar una mayor dependencia de Oracle, KernelCare es la opción más amplia, sencilla y mucho más económica.

Pasarse a KernelCare es muy sencillo y no requiere ninguna migración del sistema operativo. Un único script de inicio rápido instala el agente, y tus sistemas comienzan a recibir parches en tiempo real de forma continua tanto en el núcleo como en el espacio de usuario crítico.

Para los equipos que quieran probarlo primero, KernelCare ofrece una prueba gratuita de 30 días con todas las funciones, para que puedas comprobar que la cobertura es ininterrumpida antes de comprometerte.