Un paquet TCP suffit à ouvrir un serveur
Une faille à 9,8 dans le noyau Linux permet à un inconnu de prendre un serveur à distance, sans mot de passe. Red Hat a corrigé le 1er novembre ; chez Ubuntu, le correctif est encore en test.
Actualité du 3 novembre 2026 · 1 min 32 · 5 sources · 13 affirmations sourcées
En 30 secondes
L'essentiel
- Un serveur qui accepte des connexions TCP peut être attaqué sans aucun identifiant.
- Un correctif de noyau ne s'applique qu'après un redémarrage, et chaque distribution a son calendrier.
- Filtrer les options IP réduit l'exposition, mais ne remplace pas la mise à jour.
Ce qui est établi, et ce qui ne l'est pas
Chaque affirmation de l'épisode, son statut et ses sources.
- ÉtabliCVE-2026-98432 : utilisation après libération dans le sous-système réseau IPv4 du noyau Linux, score CVSS 3.1 de 9,8, gravité critique
- ÉtabliExploitable par un attaquant distant non authentifié, sans privilège ni interaction, avec un timing précis
- RapportéCourse entre la libération des options du socket et leur lecture concurrente, par exemple lors d'un renvoi de la demande de connexion ; les options IP sont transmises au nouveau socket sans être copiées
- RapportéDéclencheur : demandes de connexion portant les options IPv4 Record Route ou Timestamp, vers n'importe quel port en écoute, sans identifiant
- ÉtabliFaille présente dans les noyaux Linux 4.4 et ultérieurs
- RapportéAucune attaque rapportée par un éditeur, un CERT ou l'équipe CVE du noyau à la date de l'article
- RapportéSelon Anthropic, un modèle interne non publié a produit un exploit root distant contre des serveurs avec un listener MPTCP, avec 48 minutes pour fuiter une adresse du noyau puis 5 minutes pour un shell root ; le code n'est pas publié
- ÉtabliRed Hat a publié les correctifs RHEL 8, 9 et 10 le 1er novembre 2026 (RHSA-2026:93412, 93413 et 93414) ; un redémarrage est nécessaire
- ÉtabliUbuntu 22.04, 24.04 et 26.04 : correctifs uniquement dans le canal -proposed, sans date de publication ; 20.04, 18.04 et 16.04 sans correctif publié à ce jour
- ÉtabliLa règle nftables de Red Hat, qui rejette les paquets TCP IPv4 portant des options IP, réduit l'exposition mais ne couvre pas le trafic entre conteneurs d'un même hôte et peut perturber des applications
- ÉtabliLa faille n'est pas spécifique à MPTCP : désactiver MPTCP ne suffit pas, les systèmes où MPTCP est désactivé restent affectés
- RapportéRed Hat a d'abord noté la faille 5,9, en gravité modérée, avant de la porter à 9,8 en gravité critique
- InconnuNombre de serveurs encore sans correctif, et portée réelle de l'exploit décrit par Anthropic hors de son environnement de test : non établis
Transcription
Un serveur accepte une connexion TCP, comme mille fois par jour. Un paquet bien formé, et le noyau lit une mémoire déjà libérée. Aucun mot de passe, aucune action de l'utilisateur.
CyberFlash, c'est l'émission cybersécurité de DecodeVox. Ici, on ne s'arrête pas aux gros titres : on décrypte les attaques, on révèle leurs mécanismes et on explique ce qu'elles changent concrètement.
Comment un paquet peut-il suffire à prendre un serveur ?
Le serveur accepte une connexion TCP venue d'Internet. Le noyau passe les options IP de la demande au nouveau socket sans les copier. Si le client renvoie sa demande pendant qu'un autre cœur lit encore ces options, la mémoire est lue après avoir été libérée.
Ce qu'on sait : la faille touche les noyaux 4.4 et suivants, Red Hat a corrigé le 1er novembre, Ubuntu teste encore, et aucune attaque n'a été observée. Ce qu'on ignore : combien de serveurs restent sans correctif, et si l'exploit décrit par Anthropic fonctionne hors de son laboratoire.
Trois réflexes. Mettre à jour le noyau, puis redémarrer : sans redémarrage, le correctif ne s'applique pas. Si vous ne pouvez pas attendre, filtrez les paquets TCP qui portent des options IP, en sachant que la règle ne couvre pas les conteneurs. Et désactiver MPTCP ne suffit pas : la faille n'est pas dans MPTCP.
La faille était dans le noyau, sous toutes les autres applications. Le correctif existe, mais il n'est pas encore partout.
Pour aller plus loin, retrouvez l'édition complète du jour sur notre plateforme en ligne, le lien en description. Abonnez-vous à DecodeVox pour ne rien manquer de nos prochains décryptages. Et dites-nous en commentaire : vous saviez qu'un correctif de noyau ne s'applique qu'après un redémarrage ?
La suite
Continuer
1 min 36GitLab : la faille était dans Ruby
1 min 27Quand on vole votre budget d'IA
1 min 35Un lien partagé pouvait lire vos conversations privées
Ne pas manquer le prochain épisode
Le flux RSS annonce chaque nouvel épisode, sans compte ni inscription.
L'actu cyber complète du jour
Les 10 actualités du mardi 3 novembre 2026, dont celle-ci, avec leurs sources.