Une faille critique dans le TCP de Linux permet l'exécution de code à distance sans authentification

Red Hat a publié des correctifs critiques pour une grave vulnérabilité d'exécution de code à distance dans le noyau Linux, tandis qu'Ubuntu place ses correctifs dans un canal de test optionnel. La faille, identifiée sous le nom de CVE-2026-98432, affecte l'implémentation TCP IPv4 et présente un score CVSS de 9,8 sur 10. Cet événement constitue un incident de sécurité majeur pour les équipes d'infrastructure gérant des serveurs Linux sur les principales distributions.

Ce qui s'est passé

La vulnérabilité provient d'une erreur d'utilisation après libération (use-after-free) dans la manière dont le noyau Linux gère les connexions TCP IPv4. Lorsqu'un serveur accepte une connexion, il transmet les options IP de la requête entrante au nouveau socket sans en créer de copie. Si un client retransmet la demande de connexion pendant qu'un autre processeur est encore en train de lire ces options, le noyau peut accéder à une mémoire déjà libérée. Un attaquant peut déclencher cette condition de course (race condition) en envoyant des demandes de connexion avec des options spécifiques IPv4 Record Route ou Timestamp vers n'importe quel port TCP en écoute. Aucune authentification n'est requise et le vecteur d'attaque est entièrement distant.

Red Hat avait initialement classé le problème comme Modéré avec un score de 5,9, mais l'a ensuite élevé à Critique avec un score de 9,8 après une analyse plus approfondie. Le bug existe dans le noyau depuis la version 4.4, bien que le correctif amont n'ait été fusionné qu'en octobre. Red Hat a déployé des mises à jour pour RHEL 8, 9 et 10 le 1er novembre, nécessitant un redémarrage pour être effectives. Ubuntu a annoncé le 2 novembre que les correctifs pour ses versions LTS 22.04, 24.04 et 26.04 sont disponibles dans le dépôt -proposed, un canal de test optionnel. Canonical a déclaré qu'aucune date de sortie pour le canal de mise à jour régulier n'avait été fixée, car ils continuent les tests sur plus de 2 000 appareils certifiés.

Comment cela fonctionne

Le mécanisme central implique une condition de course lors de la poignée de main TCP. Normalement, lorsqu'un paquet TCP arrive, le noyau traite ses en-têtes et ses options. Dans cette implémentation défaillante, le noyau référence directement les options IP depuis le tampon du paquet original plutôt que de les copier dans un emplacement sûr et persistant. Si la pile réseau traite simultanément une retransmission du même paquet sur un cœur CPU différent, le tampon original pourrait être libéré ou réutilisé avant la fin de la seconde lecture. Cela permet à un attaquant de manipuler le contenu de la mémoire lu, pouvant mener à l'exécution de code arbitraire avec des privilèges root.

IPv6 n'est pas affecté sur le chemin principal, limitant la portée au trafic IPv4. Bien que certains conseillers aient suggéré de désactiver Multipath TCP (MPTCP) comme solution de contournement, Canonical a précisé que la faille réside dans le chemin TCP IPv4 standard, rendant les paramètres MPTCP sans rapport avec le vecteur d'exploitation principal. La seule mitigation fiable reste l'application du correctif du noyau. Red Hat a fourni une règle nftables provisoire pour rejeter les paquets TCP IPv4 entrants contenant des options IP, mais cela peut perturber les charges de travail légitimes et n'empêche pas totalement l'exploitation, notamment pour le trafic de conteneurs sur le même hôte.

Détails clés

• ID de la vulnérabilité : CVE-2026-98432, notée 9,8/10 par l'équipe CVE du noyau Linux.
• Systèmes affectés : Noyaux Linux depuis la version 4.4 ; impacte spécifiquement RHEL 8, 9, 10 et Ubuntu 22.04, 24.04, 26.04 LTS.
• Vecteur d'attaque : Attaquant distant non authentifié envoyant des paquets TCP IPv4 avec des options Record Route ou Timestamp.
• Correctif Red Hat : Disponible via RHSA-2026:93414, RHSA-2026:93412 et RHSA-2026:93413 ; nécessite un redémarrage.
• Statut Ubuntu : Correctifs dans le canal -proposed ; les anciennes versions LTS (20.04, 18.04, 16.04) n'ont pas encore de correctif sans Ubuntu Pro.
• Statut de l'exploitation : Aucune exploitation dans la nature signalée, mais le modèle IA interne d'Anthropic a généré un exploit root fonctionnel lors de tests de preuve de concept.

Pourquoi c'est important

Pour les ingénieurs logiciels et les responsables IT, cette vulnérabilité représente un risque de haute sévérité car elle ne nécessite aucune interaction utilisateur ni identifiants. Tout serveur Linux exposé publiquement exécutant un noyau non corrigé est potentiellement vulnérable à une compromission totale du système. Le fait qu'un modèle IA ait pu générer un exploit fonctionnel souligne la vitesse accélérée à laquelle les vulnérabilités théoriques peuvent devenir des menaces pratiques. Bien qu'Anthropic n'ait pas publié le code, l'existence d'un tel outil suggère que des attaquants motivés pourraient développer rapidement des capacités similaires.

La disparité dans la disponibilité des correctifs entre Red Hat et Ubuntu crée également des défis opérationnels. Les utilisateurs de Red Hat peuvent appliquer les correctifs immédiatement, tandis que les utilisateurs d'Ubuntu doivent décider s'ils activent le canal -proposed, qui présente un risque plus élevé d'instabilité en raison de tests moins étendus. Les équipes gérant des environnements mixtes doivent coordonner les redémarrages et vérifier soigneusement les versions du noyau. La mitigation provisoire utilisant nftables est imparfaite et peut perturber les diagnostics réseau ou les comportements spécifiques d'applications dépendant des options IP, imposant un compromis entre sécurité et fonctionnalité jusqu'à ce que les correctifs officiels soient largement déployés.

Ce que vous pouvez faire

• Vérifiez votre version actuelle du noyau en utilisant uname -r et comparez-la aux versions corrigées listées dans les avis des fournisseurs.
• Pour les systèmes RHEL, appliquez les dernières errata (RHSA-2026:93414, 93412 ou 93413) et planifiez un redémarrage.
• Pour les systèmes Ubuntu LTS, envisagez d'activer le dépôt -proposed si une protection immédiate est nécessaire, en suivant les commandes spécifiques de Canonical.
• Implémentez la règle nftables de Red Hat comme mesure temporaire si vous ne pouvez pas patcher immédiatement, mais surveillez les pertes de connectivité.
• Vérifiez que vos règles de pare-feu n'autorisent pas involontairement les paquets TCP IPv4 avec des options IP inhabituelles provenant de sources non fiables.
• Prévoyez des redémarrages obligatoires à travers votre infrastructure, car les mises à jour du noyau pour cette faille ne peuvent pas être appliquées en direct sans un redémarrage.