Linux : exploit d'Anthropic pour CVE-2026-98432, root distant en 53 minutes
La faille use-after-free du code TCP IPv4 du noyau Linux est corrigée en amont, mais Canonical liste encore Ubuntu 22.04, 24.04, 26.04 et 26.10 comme vulnérables.
Des chercheurs en sécurité d'Anthropic ont mis au point un exploit pour une faille critique du noyau Linux, suivie sous la référence CVE-2026-98432, et ont obtenu une exécution de commandes en root à distance sur des serveurs faisant tourner un service d'écoute MPTCP. Le noyau Linux en amont a été corrigé et le correctif rétroporté vers les branches maintenues, alors que les distributions publient progressivement leurs mises à jour, selon bleepingcomputer.com.
Notée 9,8 sur 10 par l'équipe CVE du noyau Linux, la vulnérabilité est un défaut de type use-after-free dans le code réseau TCP IPv4 du noyau, provoqué par une condition de course dans le traitement des demandes de connexion TCP. Elle touche les noyaux Linux à partir de la version 4.4, dont Ubuntu, Red Hat Enterprise Linux et Rocky Linux.
L'exploit produit par Anthropic contourne la randomisation de l'espace d'adressage du noyau (KASLR) et atteint l'exécution de code en root à distance. Selon Anthropic, il a fallu environ 53 minutes pour y parvenir. Le modèle Claude a été utilisé pour développer cet exploit.
Correctifs et distributions encore concernées
Debian a corrigé le problème dans les paquets noyau 6.1.190-1 pour Debian 12 et 6.12.113-1 pour Debian 13. Red Hat classe RHEL 8, 9 et 10 comme affectés, tandis que RHEL 7 ne l'est pas. De son côté, le tableau de suivi de Canonical indiquait au 30 octobre 2026 qu'Ubuntu 22.04 LTS, 24.04 LTS, 26.04 LTS et 26.10 restaient vulnérables.
Multipath TCP permet à une seule connexion d'emprunter plusieurs chemins réseau pour gagner en performance et en fiabilité ; il n'est généralement pas activé par défaut, mais Go 1.24 l'active automatiquement pour les services d'écoute TCP sous Linux lorsque le noyau le prend en charge. Red Hat a de son côté évalué la faille à 5,9, la classant comme un risque de déni de service en raison de la complexité de l'exploitation. macOS n'est pas concerné, son noyau XNU étant distinct.
En bref
Quelles versions de Linux sont touchées par CVE-2026-98432 ?
Les noyaux Linux à partir de la version 4.4, dont Ubuntu, Red Hat Enterprise Linux et Rocky Linux. Au 30 octobre 2026, Canonical listait encore Ubuntu 22.04 LTS, 24.04 LTS, 26.04 LTS et 26.10 comme vulnérables, et Red Hat indiquait RHEL 8, 9 et 10 comme affectés.
La faille est-elle corrigée ?
Oui, dans le noyau Linux en amont, avec un rétroportage vers les branches maintenues. Debian a publié les paquets 6.1.190-1 pour Debian 12 et 6.12.113-1 pour Debian 13.
Pourquoi Red Hat note-t-il la faille 5,9 alors que le noyau Linux la note 9,8 ?
Red Hat la classe comme un risque potentiel de déni de service, jugeant l'exploitation complexe, tandis que l'équipe CVE du noyau Linux lui attribue 9,8 sur 10.