Une faille critique du noyau Linux permet à l'IA d'Anthropic d'écrire un exploit root à distance — Ubuntu et RHEL ne l'ont toujours pas corrigée

Une faille dans le code de prise de contact (handshake) TCP du noyau Linux, référencée CVE-2026-98432, reste non corrigée sur Ubuntu et Red Hat Enterprise Linux au 29 octobre, alors qu'un correctif est disponible en amont depuis le 5 octobre et que plusieurs distributions concurrentes ont colmaté la faille il y a des semaines, comme l'a rapporté en premier The Hacker News. L'équipe CVE du noyau Linux elle-même note ce bug à 9,8 sur 10 sur l'échelle de sévérité CVSS, bien que des fournisseurs individuels, dont Red Hat, Amazon, Oracle et SUSE, le notent plus bas, entre 5,9 et 8,1.

La vulnérabilité est importante à la fois par sa sévérité et son ancienneté : le bug sous-jacent a été introduit dans Linux 4.4, ce qui signifie qu'il est resté dans le noyau pendant environ une décennie avant que quiconque ne le découvre. C'est une condition de concurrence dans le code qui établit de nouvelles connexions TCP de type IPv4 — lorsqu'une connexion est établie, le noyau transmet les options IP stockées avec la demande en attente au nouveau socket sans les copier. Si ce socket est détruit alors qu'un autre CPU est encore en train de lire ces options pour répondre à une demande de connexion renvoyée, le noyau finit par lire une mémoire qu'il a déjà libérée, un type de bug connu sous le nom de use-after-free. Les connexions IPv6 ne sont pas affectées car le noyau copie les options plutôt que de partager un pointeur vers elles. Déclencher la faille nécessite un serveur avec un listener TCP multi-chemins (MPTCP), une fonctionnalité qui permet à une seule connexion d'utiliser plusieurs chemins réseau à la fois et qu'une application doit explicitement demander à l'ouverture d'un socket.

Le chercheur en sécurité d'Anthropic Xinyang Ge est crédité dans le correctif du noyau pour avoir signalé le bug, et l'entreprise a déclaré séparément, dans une recherche publiée le 27 octobre, que son modèle d'IA est allé plus loin et a écrit une chaîne d'exploit fonctionnelle qui utilise la faille pour permettre à un attaquant distant sans identifiants d'exécuter des commandes en tant que root sur un serveur vulnérable. Ce détail transforme un bug abstrait de sécurité mémoire en une voie démontrée vers une prise de contrôle complète à distance, et ajoute CVE-2026-98432 à une liste restreinte mais croissante de vulnérabilités où un modèle d'IA — et non un chercheur humain — a produit un code d'attaque fonctionnel.

L'écart de correctifs est le problème opérationnel le plus immédiat. Debian, Oracle Linux, SUSE et Amazon Linux ont tous publié des paquets de noyau corrigés, Amazon Linux 2023 ayant été corrigé aussi récemment que le 24 et le 29 octobre. Ubuntu classe ses versions 22.04, 24.04, 26.04 et 26.10 — ainsi que ses variantes de noyau cloud, FIPS et temps réel — comme « travail en cours » sans paquet corrigé publié, et classe toujours ses versions plus anciennes 16.04, 18.04 et 20.04 comme vulnérables sans calendrier de correctif indiqué. Red Hat Enterprise Linux 8, 9 et 10, ainsi qu'OpenShift 4, classent le correctif comme « différé à une future mise à jour » sans date de publication. Ni Canonical ni Red Hat n'ont publié de date de sortie d'un correctif, laissant les organisations exécutant des services compatibles MPTCP sur l'une ou l'autre distribution exposées à un exploit root sans identifiants dont on sait déjà qu'il fonctionne.