Le patron de Shopify, Tobi Lütke, a résumé l’alerte d’un sobre « What a disaster » (« quel désastre »). Certains administrateurs minimisent la menace en n’y voyant qu’un risque de plantage. L’enjeu est pourtant bien réel : Linux propulse environ 61 % des sites web dont le système est identifiable, selon W3Techs.
La faille CVE-2026-98432 (notée 9,8 sur 10 au barème de sévérité CVSS) se trouve dans la « poignée de main » TCP qui ouvre toute connexion vers un site web, un serveur SSH ou une base de données. Lorsqu’un client glisse des options IPv4 dans son paquet, le noyau libère parfois cet espace mémoire alors qu’un autre cœur du processeur est encore en train de le lire. Ce cas d’école de use-after-free (utilisation de mémoire après libération) intervient avant même que l’application ne voie la connexion : aucun mot de passe ne protège donc le système. Présent depuis Linux 4.4 (sorti début 2016), ce défaut a été corrigé en quatre lignes par Eric Dumazet le 5 octobre, un correctif repris dans les noyaux stables des 11 et 15 octobre.
La note de 9,8 sur 10 est celle de l’équipe CVE du noyau. Red Hat, Amazon, Oracle et SUSE l’avaient d’abord évaluée entre 5,9 et 8,1. Red Hat l’a ensuite relevée au niveau « critique » le 30 octobre.
Un accès root en 53 minutes grâce à Claude
Signalé par Xinyang Ge, chercheur chez Anthropic, le bug a servi de terrain d’essai à une version interne de l’IA Claude. Le 27 octobre, Anthropic a expliqué dans un billet de recherche qu’après une première consigne d’un chercheur, ce modèle a écrit un exploit capable d’exécuter des commandes en root à distance. Il lui a fallu 48 minutes pour faire fuiter une adresse du noyau, puis cinq de plus pour prendre la main. Une tentative ratée coupe la connexion sans faire planter la machine : un attaquant peut donc réessayer autant de fois qu’il le faut. Red Hat écrit d’ailleurs dans son bulletin de sécurité qu’un attaquant distant, sans identifiants, peut s’en servir pour exécuter du code.
L’exploit d’Anthropic comporte toutefois une condition : une application doit écouter en multipath TCP (MPTCP). Or, ces écoutes sont plus courantes qu’on ne le croit, puisque les programmes écrits en Go (depuis la version 1.24) les activent par défaut sur Linux dès que le noyau l’autorise. L’équipe sécurité de Go prévient d’ailleurs que la vulnérabilité ne se limite pas au MPTCP. Aucune attaque n’est confirmée à ce jour, et la faille ne figure pas au catalogue des vulnérabilités exploitées de la CISA, l’agence américaine de cybersécurité. Une quarantaine de dépôts GitHub mentionnent déjà la faille, dont au moins sept se présentent comme une preuve de concept. Anthropic n’a pas publié son propre exploit, et aucune reproduction indépendante n’avait été signalée au 30 octobre.
Ubuntu à la traîne, comment protéger ses serveurs
Tout serveur Linux qui accepte des connexions TCP en IPv4 est concerné : VPS, serveurs web, nœuds Kubernetes ou serveurs maison (home labs) ouverts sur Internet. Les conteneurs Docker partageant le noyau de leur machine hôte, c’est bien cette dernière qu’il faut mettre à jour puis redémarrer. Debian, SUSE, Oracle et Amazon Linux ont déjà publié des correctifs pour tout ou partie de leurs versions, et Red Hat a commencé à diffuser les siens le 1er novembre. Ubuntu (pourtant la distribution la plus répandue sur les serveurs web) affiche toujours un correctif « en cours » ce lundi 2 novembre au matin pour ses versions 22.04 à 26.10.
Les paquets corrigés sont pourtant déjà référencés sur la page de suivi d’Ubuntu : 7.3.0-10.10 pour la 26.10, 7.0.0-43.43 pour la 26.04, 6.8.0-149.149 pour la 24.04 et 5.15.0-203.213 pour la 22.04. Les noyaux cloud (AWS, Azure, Google Cloud) et HWE ont chacun leur propre statut, il faut donc vérifier celui qu’on utilise réellement. Les versions 20.04 et antérieures, couvertes uniquement par l’abonnement Ubuntu Pro, n’affichent même pas de correctif en cours.
En attendant que Canonical publie enfin ces quatre lignes de code vieilles de trois semaines, nul besoin de tout débrancher. Les administrateurs sous Ubuntu peuvent bloquer au pare-feu les paquets TCP contenant des options IPv4 (quasi absents du trafic légitime) et désactiver MPTCP, soit pour toute la machine, soit service par service pour les programmes en Go, avec le réglage GODEBUG=multipathtcp=0. Red Hat prévient que ce filtrage réduit l’exposition sans l’empêcher totalement : seul un noyau corrigé règle le problème. Quant aux PC de bureau derrière une box sans port ouvert, ils restent peu exposés, tandis que les NAS et routeurs dépendront de la réactivité de leur fabricant. Canonical n’a toujours pas donné de date pour la publication de ses noyaux corrigés.
Votre café et votre dose de tech vous attendent sur WhatsApp chaque matin avec Frandroid.
Pour nous soutenir gratuitement, dites simplement à Google d’ajouter Frandroid à vos sources préférées en cliquant ici.
Ce contenu est bloqué car vous n'avez pas accepté les cookies et autres traceurs. Ce contenu est fourni par Disqus.
Pour pouvoir le visualiser, vous devez accepter l'usage étant opéré par Disqus avec vos données qui pourront être utilisées pour les finalités suivantes : vous permettre de visualiser et de partager des contenus avec des médias sociaux, favoriser le développement et l'amélioration des produits d'Humanoid et de ses partenaires, vous afficher des publicités personnalisées par rapport à votre profil et activité, vous définir un profil publicitaire personnalisé, mesurer la performance des publicités et du contenu de ce site et mesurer l'audience de ce site (en savoir plus)
En cliquant sur « J’accepte tout », vous consentez aux finalités susmentionnées pour l’ensemble des cookies et autres traceurs déposés par Humanoid et .
Vous gardez la possibilité de retirer votre consentement à tout moment. Pour plus d’informations, nous vous invitons à prendre connaissance de notre Politique cookies.