CVE-2026-98432 est une faille use-after-free dans la pile TCP IPv4 du noyau Linux, présente depuis Linux 4.4 ; elle a reçu une classification Critique et un score CVSS 3.1 de 9,8 de la part de l’équipe CVE du noyau Linux et de Red Hat.
Le cas a pris de l’ampleur après qu’Anthropic a montré, le 27 octobre, comment l’IA Claude a aidé à construire un exploit aboutissant à l’exécution de commandes à distance avec les privilèges root sur un serveur écoutant en multipath TCP (MPTCP). Toutefois, MPTCP n’est pas requis pour exploiter la vulnérabilité : les chemins de code vulnérables dans le traitement TCP IPv4 peuvent aussi être atteints via des connexions TCP ordinaires. Cela prouve que l’exécution de code à distance est faisable dans des conditions favorables, sans pour autant garantir que chaque serveur non patché soit facilement attaquable en pratique.
CVE-2026-98432 : mécanisme et exploitation
La vulnérabilité est un use-after-free qui survient lors du traitement des requêtes de connexion TCP entrantes : le noyau transmet des options IPv4 à une nouvelle socket sans en faire une copie, ouvrant une fenêtre de course si une autre CPU gère une retransmission au même instant. Si la socket est détruite et que ses options sont libérées pendant l’opération, un second cœur peut référencer une zone mémoire devenue obsolète.
Le correctif upstream résout le problème en ajustant le moment de libération de la mémoire via des périodes de grâce RCU, pour s’assurer que les lecteurs ont fini avant la libération. Dans la démonstration d’Anthropic, l’exploit a d’abord forcé des fuites de pointeurs mémoire pour neutraliser KASLR (qui brouille les dispositions mémoire), puis a écrasé un pointeur de callback pour exécuter une charge utile root. Selon le rapport, la phase d’analyse des dispositions mémoire a pris environ 48 minutes, puis 5 minutes supplémentaires pour lancer un shell root. Lorsque la fenêtre de course échouait, la connexion tombait sans faire planter l’hôte, permettant de retenter l’attaque ; la fiabilité de cette méthode selon les versions du noyau et le matériel reste une question ouverte.
Correctifs et mesures temporaires
Le noyau a reçu des correctifs upstream et des distributions ont commencé à publier des mises à jour : des correctifs sont déjà disponibles pour Debian et Amazon Linux, Ubuntu déployait des correctifs au 2 novembre, et Red Hat indique que RHEL 8, 9, 10 ainsi qu’OpenShift sont affectés et que des mises à jour sont accélérées. Red Hat a également partagé une règle de filtrage réseau destinée à réduire le risque en attendant le correctif, en précisant qu’il s’agit d’un pansement temporaire et non d’un remplacement d’une mise à jour du noyau.
Les correctifs publiés upstream n’installent pas automatiquement les mises à jour sur vos serveurs : les mainteneurs des distributions doivent empaqueter, tester et diffuser ces correctifs. Il est recommandé de consulter l’avis spécifique de votre fournisseur Linux pour connaître l’état des correctifs et les mesures à prendre.
