· par NetProtector Security Team
CVE-2026-98432 : faille critique dans la pile TCP du noyau Linux
Une vulnérabilité dans la pile TCP du noyau Linux peut être déclenchée sans authentification via le réseau et, dans le pire des cas, permettre d'obtenir les droits root. L'erreur est présente dans le code depuis Linux 4.4 – soit depuis près de dix ans. Des correctifs sont disponibles, mais ne sont pas encore arrivés dans toutes les distributions.
Qu'est-ce que CVE-2026-98432 ?
Il s'agit d'une erreur de type use-after-free dans le traitement des connexions TCP IPv4, évaluée à CVSS 3.1 9.8 (critique). Lors de l'établissement d'une connexion, le noyau transmet les options IPv4 de la demande de connexion au nouveau socket. Depuis Linux 4.4, ces étapes s'exécutent sans verrouillage du socket en écoute. Si un paquet SYN répété arrive sur un autre cœur de processeur pendant que le nouveau socket est en cours de libération, le noyau lit de la mémoire déjà libérée.
Une attaque nécessite :
- un accès réseau à un service TCP IPv4 d'un système non corrigé,
- un paquet de connexion avec des options IPv4 (par ex. Record Route ou Timestamp) et sa répétition,
- aucun identifiant ni aucune interaction d'un utilisateur.
Une course perdue fait seulement échouer l'établissement de la connexion – un attaquant peut donc réessayer autant de fois qu'il le souhaite.
Quel est le danger concret ?
Un chercheur d'Anthropic a signalé l'erreur. Le 27 octobre 2026, Anthropic a fait état d'un exploit qui obtient les droits root sur des serveurs disposant d'un listener Multipath TCP (MPTCP) ; celui-ci n'a pas été publié. Début novembre, aucun exploit public fonctionnel n'était connu et la faille ne figurait pas dans le catalogue KEV de l'agence américaine CISA. Cela peut changer rapidement.
Important : l'équipe de sécurité de Go signale que Go active MPTCP par défaut sur les listeners Linux à partir de la version 1.24. Les services écrits en Go peuvent donc remplir la condition préalable de l'exploit connu, sans que quiconque l'ait activé délibérément.
Versions concernées et corrigées
Tous les noyaux à partir de la version 4.4 sans correctif sont concernés. L'erreur est corrigée dans Linux 7.3 ainsi que dans les versions stables 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56 et 7.2.10. Debian, SUSE, Oracle Linux et Amazon Linux ont déjà livré des noyaux corrigés pour une partie de leurs versions ; Red Hat classe la faille comme critique. Fin octobre, les mises à jour pour RHEL et Ubuntu étaient encore en attente ; pour RHEL, elles auraient été livrées début novembre selon certaines sources. L'avis de sécurité de votre distribution vous indique l'état actuel.
Ce que vous devez faire maintenant
-
Mettre à jour le noyau et redémarrer – un noyau installé mais non démarré ne protège pas. Vérifiez avec
uname -rce qui s'exécute réellement. -
Réduire la surface d'attaque jusqu'à la mise à jour :
sysctl -w net.mptcp.enabled=0 sysctl -w net.ipv4.tcp_migrate_req=0Pour rendre ce réglage permanent, utilisez un fichier dans
/etc/sysctl.d/. Cela réduit la probabilité d'exploitation, mais ne l'empêche pas complètement. -
Identifier les listeners MPTCP :
ss -M -l -n -paffiche les services qui proposent Multipath TCP – vérifiez en particulier les applications Go. -
Filtrer les options IPv4 lorsque c'est possible : rejeter au niveau du périmètre les paquets comportant des options IP protège davantage les services exposés. Vérifiez au préalable si des applications en dépendent.
Notre évaluation
Les failles du noyau exploitables via le réseau sont rares, mais particulièrement préoccupantes : elles concernent chaque service, et pas seulement une application, ainsi que les appliances, routeurs ou hôtes de conteneurs qui reposent sur Linux. Outre l'application rapide des correctifs, une architecture réseau qui ne rend accessibles que les services devant réellement l'être est utile – de même qu'une solution d'intrusion prevention capable de détecter et de bloquer des paquets inhabituels, comme des connexions TCP avec des options IP.