Une vulnérabilité critique du noyau Linux expose potentiellement des serveurs à une prise de contrôle à distance, sans authentification préalable. Référencée sous l’identifiant CVE-2026-98432, elle a reçu la note de 9,8 sur 10 selon l’équipe CVE du noyau, qui utilise le système CVSS pour mesurer la gravité des failles de sécurité.
L’alerte, rapportée par Frandroid le 2 novembre 2026, concerne un défaut situé dans la gestion initiale des connexions réseau. Cette étape intervient avant que les applications — par exemple un site web, un service SSH ou une base de données — ne prennent en charge la communication. La faille se trouve donc à un niveau particulièrement sensible de l’architecture du système.
Des correctifs déjà disponibles pour plusieurs distributions
Le défaut est présent depuis Linux 4.4, une version publiée au début de l’année 2016. Un correctif a été préparé le 5 octobre par Eric Dumazet, puis intégré aux noyaux stables diffusés les 11 et 15 octobre. Les distributions Linux doivent toutefois intégrer ces modifications dans leurs propres paquets avant que les administrateurs puissent les déployer.
| Distribution ou acteur | Situation indiquée |
|---|---|
| Debian | Correctif disponible depuis la mi-octobre |
| Red Hat | Publication des correctifs commencée le 1er novembre |
| Ubuntu | Utilisateurs encore exposés selon Frandroid |
La qualification de la vulnérabilité a évolué au fil de l’analyse. Red Hat, Amazon, Oracle et SUSE l’avaient d’abord évaluée entre 5,9 et 8,1. Red Hat a ensuite relevé sa gravité au niveau « critique » le 30 octobre. Cette différence illustre l’importance des travaux d’évaluation menés après la découverte d’un défaut affectant le socle réseau du système.
« Quel désastre »
Cette réaction, publiée en anglais sous la forme « What a disaster », est attribuée par Frandroid à Tobi Lütke, dirigeant de Shopify. Elle intervient alors que Linux occupe une place majeure dans l’infrastructure du web : selon W3Techs, environ 61 % des sites dont le système d’exploitation est identifiable utilisent Linux. Ce chiffre ne mesure pas le nombre de serveurs vulnérables, mais donne une indication de l’ampleur potentielle du parc concerné.
Une démonstration menée dans un cadre de recherche
Le défaut a également été étudié par Xinyang Ge, chercheur chez Anthropic. Dans un billet publié le 27 octobre, l’entreprise a expliqué qu’une version interne de son modèle Claude avait été utilisée dans un cadre de recherche pour analyser la vulnérabilité. Frandroid rapporte que cette expérimentation a montré la possibilité d’obtenir des privilèges élevés à distance. Cette démonstration ne constitue pas une indication que tous les systèmes Linux sont compromis, mais elle renforce la nécessité de prendre au sérieux la disponibilité des correctifs.
Le risque concerne surtout les machines qui exécutent une version vulnérable du noyau et qui acceptent des connexions réseau. Les protections propres aux applications, comme un mot de passe demandé par un service, ne suffisent pas nécessairement lorsqu’un défaut intervient avant la prise en charge de la connexion par ce service. La priorité pour les administrateurs est donc d’identifier la version du noyau utilisée, de suivre les bulletins de leur distribution et d’appliquer les mises à jour proposées dès qu’elles sont disponibles.
- CVE-2026-98432 est classée critique par l’équipe CVE du noyau, avec un score de 9,8.
- Le correctif a été intégré aux noyaux stables des 11 et 15 octobre 2026.
- Debian a déjà corrigé la faille, tandis que Red Hat a commencé son déploiement le 1er novembre.
- Selon Frandroid, les utilisateurs d’Ubuntu restent encore exposés au 2 novembre.
