Ing. Calogero Bono
Une faille critique dans le code TCP IPv4 du noyau Linux, répertoriée sous le nom CVE-2026-98432, peut mener à une exécution de code à distance. Red Hat a publié les noyaux corrigés pour RHEL 8, 9 et 10 le 1er novembre. Canonical, le 2 novembre, a placé les correctifs pour Ubuntu 22.04, 24.04 et 26.04 LTS dans le canal de test -proposed, sans date pour la mise à jour régulière. Pour qui gère des serveurs exposés, le choix se résume à attendre ou installer tout de suite.
Quelques termes, avant d'entrer dans les faits. CVE est le code qui identifie une vulnérabilité connue. CVSS est l'échelle de 0 à 10 qui mesure sa gravité, ici 9.8. Use-after-free est une erreur où le programme lit une mémoire déjà libérée. -proposed est le canal d'Ubuntu où les mises à jour restent en test et ne s'installent pas toutes seules. MPTCP est le Multipath TCP, une variante du protocole qui utilise plusieurs chemins réseau.
Qu'est-ce que la faille CVE-2026-98432 ?
Selon la reconstitution de The Hacker News, lorsqu'un serveur accepte une connexion TCP IPv4, le noyau transmet les options IP de la requête au nouveau socket sans les copier. Si le client retransmet la requête pendant qu'un autre processeur lit encore ces options, le noyau peut lire une mémoire déjà libérée.
L'attaquant envoie des requêtes avec les options IPv4 Record Route ou Timestamp vers n'importe quel port TCP en écoute. Aucun accès n'est nécessaire. Le chemin principal IPv6 n'est pas concerné. Le défaut est présent depuis le noyau 4.4 et la correction en amont est arrivée en octobre.
Quelle est sa gravité et un exploit circule-t-il ?
L'équipe CVE du noyau attribue 9.8 sur 10. Red Hat était partie d'un 5.9 Moderate, puis a relevé le score à 9.8, qualifiant la faille de Critical. Amazon Linux l'évalue 8.1, Important, et parle surtout de plantages avec corruption possible de la mémoire.
Aucun fournisseur, CERT ou équipe du noyau n'a signalé d'attaques, et fin octobre elle ne figurait pas dans le catalogue CISA des vulnérabilités exploitées. Anthropic a déclaré qu'un modèle de recherche interne a écrit un exploit root pour les serveurs à écouteur MPTCP, sans publier le code. Sur GitHub n'existe que du code qui déclenche la course critique, sans exécution de code.
Quelles versions d'Ubuntu sont concernées et comment installer le correctif ?
Selon le blog officiel d'Ubuntu, Jammy (22.04) a le noyau 5.15.0-203.213 en -proposed, Noble (24.04) le 6.8.0-149.149 et Resolute (26.04) le 7.0.0-43.43. Stonking (26.10) est déjà corrigée avec la 7.3.0-10.10. Pour Focal, Bionic et Xenial la correction est en route, tandis que Trusty n'est pas concernée.
Avec uname -r tu contrôles le noyau en cours d'utilisation. Pour anticiper le correctif, active -proposed avec add-apt-repository, installe avec apt install -t la version indiquée et redémarre. Canonical teste les mises à jour sur plus de 2 000 serveurs et appareils certifiés avant la sortie régulière. Pour les versions plus anciennes il faut Ubuntu Pro avec ESM.
Si tu gères les paquets à la main, notre guide sur apt et dnf t'aide à suivre les étapes.
Existe-t-il des mesures d'atténuation, et suffit-il de désactiver MPTCP ?
Non, désactiver MPTCP seul ne suffit pas. Le défaut se trouve dans le chemin TCP IPv4 et non dans MPTCP, et Canonical rappelle que pour l'Ubuntu Security Team les mises à jour sont la seule atténuation appropriée. Le conseil sur le protocole vient seulement du fait que l'exploit décrit par Anthropic l'utilise.
Le 30 octobre, Red Hat a publié une règle nftables qui rejette les paquets TCP IPv4 contenant des options IP. Elle bloque le déclencheur connu mais n'empêche pas totalement l'exploitation et peut casser des services qui utilisent ces options. Elle n'agit que sur l'hôte où elle est chargée, et le trafic entre conteneurs sur la même machine peut la contourner. Pour comprendre les règles réseau, tu peux commencer par le guide de configuration réseau Linux.
Limites à connaître
Il n'existe pas de date pour la sortie régulière d'Ubuntu. Les variantes cloud, FIPS et temps réel sont encore en préparation, alors que le billet de Canonical ne couvre que le noyau générique. L'exploit d'Anthropic n'est pas public et son efficacité repose sur une déclaration de l'entreprise, non vérifiée par des tiers. Le tableau des attaques réelles peut évoluer vite.
Ce qui change pour qui travaille avec le numérique
Si tu administres des serveurs Ubuntu 22.04, 24.04 ou 26.04 exposés sur Internet, tu dois décider dès maintenant entre utiliser -proposed ou attendre. Sur RHEL 8, 9 et 10, il suffit d'installer la mise à jour et de redémarrer. Le redémarrage doit être planifié, il te faut donc une fenêtre de maintenance. Vérifie aussi les conteneurs et les machines virtuelles, car ils héritent du noyau de l'hôte. Si tu utilises un hébergement géré, demande à ton fournisseur où en est le correctif.
Notre avis
Le choix de Canonical est prudent sur le plan technique, mais il laisse exposés pendant des jours les serveurs qui ont le plus besoin du correctif. Un 9.8 atteignable sans authentification mérite une voie plus rapide, et reporter le risque sur l'administrateur avec -proposed n'est acceptable que si c'est bien expliqué. Le billet le fait, mais le retard sur les versions plus anciennes reste un problème. Il faut reconnaître que le conseil de désactiver MPTCP a été clairement démenti.
Questions fréquentes
La faille CVE-2026-98432 est-elle déjà exploitée ?
Aucune attaque n'a été signalée par les fournisseurs, les CERT ou l'équipe du noyau. La faille n'figurait pas dans le catalogue CISA au 30 octobre. Il existe toutefois un exploit déclaré par Anthropic mais non publié, et du code de test sur GitHub.
Comment savoir si mon Ubuntu est vulnérable ?
Exécute uname -r et compare la version au tableau de Canonical. Tu peux voir les paquets installés avec dpkg -l 'linux-image*'. Un redémarrage est aussi nécessaire après la mise à jour.
Puis-je installer le correctif depuis -proposed ?
Oui, si tu acceptes d'utiliser un canal encore en test. Tu actives -proposed et tu installes explicitement le noyau, car il ne se met pas à jour automatiquement. Ensuite tu redémarres.
Désactiver MPTCP règle-t-il le problème ?
Non. La faille se trouve dans le TCP IPv4 et non dans MPTCP, comme le rappelle Canonical. Le conseil vient uniquement de l'exploit décrit par Anthropic.
Et pour Ubuntu 20.04 ou plus anciens ?
Pour l'instant il n'y a pas de correctif. Focal, Bionic et Xenial sont en attente et passent par Ubuntu Pro avec ESM. Trusty n'est pas concernée.
Ce qu'il faut surveiller dans les prochains jours pour les noyaux Ubuntu
Tout se joue sur la sortie régulière de Canonical et sur une éventuelle publication de l'exploit.
- Suis la page CVE d'Ubuntu pour la date de sortie dans le canal updates et pour les variantes cloud.
- Vérifie s'il y a des signalements d'attaques ou une inscription au catalogue CISA.
- Prépare une fenêtre de redémarrage pour les serveurs exposés, afin d'appliquer le correctif dès qu'il est disponible.
