Bad Epoll : une faille du noyau Linux donne un accès root à tout utilisateur local, l'exploit est fiable à 99%

Une grave vulnérabilité du noyau Linux, baptisée Bad Epoll (CVE-2026-46242), permet à un utilisateur local ordinaire — sans privilèges spéciaux — de prendre le contrôle total d'une machine en tant que root. Un exploit public atteint une fiabilité d'environ 99 % sur les cibles testées, ce qui en fait l'une des failles d'élévation de privilèges locales les plus pratiques divulguées depuis des années.

Comment fonctionne l'exploit

Bad Epoll est un bug de type use-after-free dans le sous-système epoll du noyau, plus précisément à l'intérieur de la fonction ep_remove(). La faille exploite une condition de concurrence (race condition) : lorsqu'un fichier est fermé et que deux parties du noyau tentent de nettoyer le même objet eventpoll interne simultanément, l'une libère la mémoire tandis que l'autre y écrit encore. Cette collision étroite corrompt la mémoire du noyau et crée le point d'appui dont un attaquant a besoin pour passer d'un compte non privilégié à root.

La fenêtre de concurrence ne couvre qu'environ six instructions — si étroite que la plupart des outils d'audit automatisés, y compris l'analyse de code assistée par IA, n'ont pas réussi à la détecter. Le chercheur en sécurité Jaeyoung Chung, qui a découvert la faille en travaillant dans le cadre du programme kernelCTF de Google, a noté qu'un bug connexe dans le même chemin de code epoll de 2 500 lignes (CVE-2026-43074) avait été trouvé précédemment par le modèle Mythos AI d'Anthropic. Bad Epoll était la seconde faille, plus subtile, que Mythos a manquée.

Quels sont les risques

Tout système exécutant le noyau Linux v6.4 ou ultérieur est concerné — ce qui couvre la grande majorité des serveurs et postes de travail Linux modernes, ainsi que les appareils Android. Les chercheurs ont également confirmé que la vulnérabilité est accessible depuis le sandbox du moteur de rendu de Chrome, ce qui signifie qu'un onglet de navigateur compromis pourrait potentiellement servir de tremplin pour compromettre l'ensemble du système.

Étant donné que la faille nécessite uniquement un accès local — et non une exécution de code à distance — la menace la plus immédiate concerne les attaques internes, les environnements d'hébergement partagé et les évasions de conteneurs où un utilisateur a déjà un point d'appui sur la machine.

État du correctif : disponible, mais pas largement déployé

Un correctif du noyau Linux en amont (upstream) a été intégré dans la branche principale le 24 avril, après qu'une première tentative de correctif s'est avérée incomplète. Malgré cela, la majorité des distributions Linux — y compris de nombreuses variantes d'entreprise — n'avaient pas encore livré le correctif rétroporté (backported) au moment de ce rapport. Les administrateurs doivent consulter les avis de sécurité de leur distribution et appliquer les mises à jour du noyau disponibles immédiatement. Il n'existe aucune solution de contournement par configuration car epoll ne peut pas être désactivé.

Les fournisseurs Android devraient inclure le correctif dans les prochains bulletins de sécurité mensuels, mais le déploiement des mises à jour variera selon l'appareil et le fabricant.

Que faire

Les administrateurs système doivent prioriser l'application des mises à jour du noyau à partir des canaux de sécurité de leur distribution. Les organisations qui exploitent des infrastructures de calcul partagées — machines virtuelles dans le cloud, conteneurs, environnements Linux gérés — font face au risque immédiat le plus élevé. Jusqu'à ce que le correctif soit complet, limiter l'accès au shell aux utilisateurs de confiance réduit considérablement l'exposition.

L'exploit est désormais public, supprimant toute période de grâce. Il ne s'agit pas d'un risque théorique.

La vulnérabilité a été signalée pour la première fois par CyberSecurityNews et confirmée par The Hacker News.