Vulnérabilité critique TCP Linux CVE-2026-98432 nécessitant un correctif immédiat

Les noyaux Linux stables ont reçu une correction de sécurité critique à la mi-octobre 2026 pour CVE-2026-98432, une vulnérabilité de type use-after-free dans le handshake TCP IPv4. Ce défaut permet à un attaquant distant non authentifié d'exécuter du code arbitraire avec des privilèges root sur les serveurs affectés. Bien que les mainteneurs amont aient résolu le problème, de nombreuses grandes distributions d'entreprise restent vulnérables fin octobre.

Ce qui s'est passé

La communauté du noyau Linux a attribué à CVE-2026-98432 un score CVSS 3.1 de 9,8, la classant comme Critique. La vulnérabilité existe dans le chemin de code qui gère les connexions TCP IPv4 entrantes, spécifiquement lors du handshake initial avant toute authentification au niveau application. Le bug a été signalé par Xinyang Ge d'Anthropic et corrigé par Eric Dumazet, avec un patch examiné par Kuniyuki Iwashima.

Les noyaux stables amont ont intégré le correctif entre le 11 et le 15 octobre 2026. Les versions affectées incluent les branches de support à long terme telles que 5.10, 5.15, 6.1, 6.6 et 6.12, ainsi que les nouvelles versions mainline. La vulnérabilité remonte à Linux 4.4, ce qui signifie que presque tous les serveurs Linux actifs sont potentiellement exposés s'ils n'ont pas reçu le patch spécifique. Les branches ayant atteint la fin de vie avant la version 5.10 ne disposent pas de correctif amont et dépendent entièrement des backports spécifiques aux distributions.

Malgré la disponibilité des correctifs amont, le statut de déploiement varie considérablement selon les grandes distributions. Au 31 octobre 2026, le tracker de sécurité d'Ubuntu liste toutes les versions comme "Vulnérable", avec des correctifs toujours en cours pour les versions récentes. Red Hat Enterprise Linux (RHEL) 8, 9 et 10 sont également listés comme affectés sans correctif disponible, bien que Red Hat ait augmenté son évaluation de sévérité à Critique. AlmaLinux a des noyaux corrigés en phase de test, tandis que Debian, SUSE, Oracle et Amazon Linux ont déjà publié des patches pour leurs versions supportées.

Comment cela fonctionne

La vulnérabilité provient d'une condition de course dans la gestion par le noyau de la mémoire pour les options de connexion TCP. Lorsqu'un serveur accepte une connexion TCP, il crée un "request socket" léger pour suivre le handshake demi-ouvert. Si le client connectant inclut des options d'en-tête IPv4, le noyau les stocke pour les renvoyer dans les réponses ultérieures. Le bug survient parce que le noyau passe ces pointeurs d'options au nouveau socket complet sans copier les données, puis libère immédiatement la mémoire du request socket original.

Si un autre cœur CPU est encore en train de lire ces options pour construire une réponse pendant que la mémoire est libérée, une condition use-after-free se produit. Cela peut entraîner une divulgation de mémoire heap du noyau, une corruption de mémoire ou un plantage système. Les chercheurs d'Anthropic ont démontré que cette condition de course peut être exploitée pour obtenir l'exécution de code à distance. Fait notable, leur preuve de concept visait des serveurs avec des écouteurs Multipath TCP (MPTCP), activés par défaut dans les programmes Go à partir de la version 1.24. Cependant, le bug sous-jacent n'est pas exclusif à MPTCP, et d'autres configurations peuvent également être vulnérables.

Le correctif est minimal, consistant en une modification de quatre lignes qui remplace les appels standard de libération de mémoire par kfree_rcu(). Cette fonction garantit que la mémoire n'est libérée qu'après que tous les lecteurs ont fini d'y accéder, empêchant ainsi la condition de course. Le patch corrige également des problèmes similaires dans les chemins de migration des request sockets.

Détails clés

• Identifiant CVE : CVE-2026-98432, noté 9,8 Critique par le CNA du noyau Linux.
• Type de vulnérabilité : Use-after-free dans la gestion des options du handshake TCP IPv4.
• Systèmes affectés : Noyaux Linux à partir de la version 4.4 acceptant des connexions TCP IPv4.
• Statut de l'exploit : Un exploit root à distance fonctionnel existe pour les serveurs avec écouteurs MPTCP, développé par Anthropic.
• Statut des distributions : Corrigé dans Debian, SUSE, Oracle et Amazon Linux ; en attente pour Ubuntu et RHEL au 31 octobre 2026.
• Atténuation : Le filtrage au niveau réseau des paquets IPv4 contenant des options peut réduire l'exposition jusqu'à l'application des correctifs.

Pourquoi c'est important

Pour les ingénieurs d'infrastructure et les équipes de plateforme, cette vulnérabilité représente un scénario à haut risque car elle ne nécessite aucune authentification et opère au niveau de la pile réseau. Puisque l'exploit se produit avant l'exécution du code applicatif, les pare-feu d'applications web traditionnels ou les mécanismes d'authentification au niveau service ne peuvent pas l'empêcher. Le fait que les grandes distributions comme Ubuntu et RHEL n'aient pas encore publié de correctifs laisse une part significative de l'infrastructure d'entreprise exposée durant cette fenêtre.

L'implication de MPTCP ajoute de la complexité à l'évaluation des risques. Avec Go 1.24 activant MPTCP par défaut, de nombreux microservices modernes et applications cloud-native peuvent exposer involontairement leurs hôtes à la configuration la plus facilement exploitable. Les équipes faisant tourner des services basés sur Go sous Linux doivent vérifier l'état de leur noyau et envisager de désactiver MPTCP si elles ne peuvent pas appliquer de correctif immédiatement. Le retard dans les correctifs au niveau distribution signifie que des stratégies proactives d'atténuation, telles que le filtrage réseau, sont essentielles pour maintenir la posture de sécurité.

Ce que vous pouvez faire

• Vérifiez votre version de noyau en cours d'exécution en utilisant uname -r et comparez-la avec l'avis de sécurité de votre distribution pour voir si un correctif est disponible.
• Si un noyau corrigé est installé, redémarrez vos serveurs pour activer le patch, car les mises à jour du noyau ne prennent effet qu'après un redémarrage.
• Pour les systèmes qui ne peuvent pas encore être corrigés, implémentez des règles nftables ou iptables pour rejeter les paquets TCP IPv4 entrants contenant des options IP, ce qui bloque le vecteur d'attaque.
• Désactivez Multipath TCP en définissant net.mptcp.enabled = 0 dans sysctl si vos applications n'en ont pas explicitement besoin, réduisant ainsi la surface d'attaque.
• Surveillez le tracker de sécurité de votre distribution pour les mises à jour, particulièrement si vous utilisez Ubuntu ou RHEL, car des correctifs sont attendus prochainement.
• Vérifiez si des services en écoute utilisent MPTCP en exécutant ss -Mlnp et redémarrez ces services après avoir désactivé MPTCP pour assurer la prise en compte du changement.