CVE-2026-53266 : noyau Linux exploité — 2 CVE ajoutés au KEV CISA le 18 septembre

Les faits

La CISA (Cybersecurity and Infrastructure Security Agency) a officiellement ajouté deux nouvelles entrées à son catalogue Known Exploited Vulnerabilities (KEV) le 18 septembre 2026 : CVE-2025-39964 et CVE-2026-53266. Ces deux vulnérabilités affectent le noyau Linux et font l'objet d'une exploitation active confirmée dans la nature. La date limite imposée aux agences fédérales américaines pour appliquer les correctifs est fixée au 21 septembre 2026 — seulement trois jours après l'annonce, signe de l'urgence maximale jugée par les autorités.

CVE-2025-39964 est une vulnérabilité de type race condition découverte dans l'API cryptographique utilisateur du noyau Linux, dans le sous-système AF_ALG (Address Family ALG). La faille résulte d'un défaut de synchronisation sur le chemin de données : deux threads peuvent simultanément écrire sur le même socket AF_ALG, provoquant un entrelacement imprévisible des charges utiles des requêtes. Ce comportement est classé CWE-362 (Concurrent Execution using Shared Resource with Improper Synchronization). Son score CVSS 3.1 est de 7.8 (HIGH), avec un vecteur d'attaque local, une complexité d'exploitation faible, et un impact sur la confidentialité, l'intégrité et la disponibilité du système. La faille a été initialement publiée le 13 octobre 2025 ; son exploitation active n'a été cataloguée par la CISA qu'en septembre 2026.

CVE-2026-53266 est une vulnérabilité d'écriture hors limites (out-of-bounds write) localisée dans le sous-système netfilter bridge du noyau Linux, précisément dans la cible ebt_snat (Ethernet Bridge Source NAT). Le défaut réside dans le chemin de réécriture de l'adresse hardware source ARP (ARP SHA). La fonction incriminée appelle skb_store_bits() pour écrire dans le tampon socket sans s'assurer que la plage cible est accessible en écriture. Lorsque la plage ARP SHA réside dans un fragment skb non-linéaire adossé à une page de fichier importée via splice, l'écriture modifie directement la page sous-jacente sans passer par le mécanisme copy-on-write. Cette corruption mémoire peut atteindre des objets kernel appartenant à d'autres processus ou des mappings espace utilisateur, ouvrant la voie à une élévation de privilèges ou à une exécution de code arbitraire en contexte kernel. La faille est classifiée CWE-787 (Out-of-bounds Write).

La combinaison de ces deux failles crée un profil de risque particulièrement élevé pour les serveurs Linux exposés. CVE-2025-39964 requiert un accès local, mais dans les environnements multi-locataires (cloud public, VPS partagés, conteneurs Docker), un attaquant ayant accès à l'environnement peut exploiter la race condition AF_ALG pour corrompre des données cryptographiques d'autres processus. CVE-2026-53266 peut être déclenchée par un attaquant contrôlant le trafic réseau traversant un pont bridge filtré par netfilter, ce qui inclut des scénarios réseau virtualisés courants (hyperviseurs KVM/QEMU, infrastructures OpenStack, clusters Kubernetes avec CNI utilisant netfilter).

L'ajout au KEV fait suite à des observations d'exploitation active confirmées par plusieurs équipes CERT et fournisseurs de sécurité. Des analyses publiées par SecurityOnline décrivent des campagnes ciblant des serveurs Linux dans des environnements cloud où les deux vecteurs sont combinés : l'exploitant utilise CVE-2025-39964 pour corrompre les buffers cryptographiques et ouvrir une fenêtre d'opportunité, puis enchaîne avec CVE-2026-53266 pour obtenir une exécution arbitraire en mode kernel. Cette technique de chaînage élève l'impact effectif bien au-delà des scores CVSS individuels.

Du côté des distributions Linux, des correctifs ont été publiés par Red Hat (RHSA-2026:0576), Ubuntu, Debian Security, SUSE/openSUSE et Arch Linux dès les semaines précédant l'ajout au KEV. La fenêtre entre la publication des patches et leur déploiement effectif constitue l'opportunité exploitée par les attaquants. Selon les données de télémétrie publiées par SentinelOne dans son analyse de CVE-2026-53266, des milliers de systèmes Linux restaient non patchés au moment de l'ajout au KEV, notamment dans des environnements sans gestion automatisée des mises à jour noyau.

Le contexte de la CISA impose aux agences fédérales américaines relevant du BOD 22-01 (Binding Operational Directive) d'appliquer les correctifs avant le 21 septembre 2026. La directive BOD 22-01 couvre les entités fédérales civiles (FCEB), mais la CISA recommande fortement à toutes les organisations, publiques et privées, de traiter les entrées KEV avec la même urgence. En France, l'ANSSI et le CERT-FR n'avaient pas encore émis d'avis spécifique sur ces deux CVE au moment de la rédaction, mais les vecteurs d'exploitation correspondent aux profils habituellement couverts par les bulletins CERTFR-2026-ACT. Les outils Qualys, Tenable Nessus et Rapid7 InsightVM ont mis à jour leurs plugins de détection pour les deux CVE dans les 24 heures suivant l'ajout au KEV.

Impact et exposition

CVE-2026-53266 est particulièrement dangereuse dans les environnements cloud et de virtualisation. Tout hyperviseur Linux utilisant le bridge netfilter pour filtrer le trafic entre machines virtuelles est potentiellement exposé si un attaquant contrôle une VM locataire et peut envoyer des paquets ARP spécialement forgés. Les environnements Kubernetes, OpenStack et les plateformes cloud utilisant KVM/QEMU avec netfilter activé représentent une surface d'attaque significative. De nombreux déploiements en production n'activent pas le filtrage ARP strict, laissant le chemin ebt_snat ouvert à l'exploitation.

CVE-2025-39964 cible l'espace de noms réseau AF_ALG. Tout processus ayant accès aux sockets cryptographiques du noyau — applications utilisant OpenSSL avec backend kernel ou bibliothèques cryptographiques accédant directement à AF_ALG — peut être un vecteur. Dans les conteneurs Linux sans isolation forte des namespaces, le risque d'exploitation latérale est réel. Les distributions utilisant des noyaux LTS antérieurs à 5.15.x ou 6.1.x sont les plus exposées si les backports de sécurité n'ont pas été appliqués.

L'exploitation combinée des deux CVE est particulièrement préoccupante pour les fournisseurs de services managés (MSP) et les hébergeurs cloud : un client malveillant pourrait exploiter ces failles pour s'évader de son isolation et compromettre d'autres locataires ou l'infrastructure hôte. Ce scénario de "container escape" est l'un des plus redoutés dans les environnements multi-locataires. L'ajout simultané de deux CVE noyau Linux au KEV le même jour est inhabituel et signale une campagne d'exploitation coordonnée ciblant des infrastructures cloud critiques.

Recommandations immédiates

• Mettre à jour le noyau Linux immédiatement : Red Hat RHSA-2026:0576, Ubuntu USN correspondant, Debian Security Advisory — vérifier la version avec uname -r
• Pour CVE-2026-53266 : si la mise à jour est impossible, désactiver le module ebt_snat via modprobe -r ebt_snat et ajouter install ebt_snat /bin/false dans /etc/modprobe.d/blacklist.conf
• Pour CVE-2025-39964 : restreindre l'accès aux sockets AF_ALG via des règles seccomp ou AppArmor/SELinux bloquant socket(AF_ALG, ...) pour les processus non privilégiés
• Prioriser la mise à jour des hyperviseurs et nœuds Kubernetes — ces environnements sont les cibles les plus à risque
• Activer la surveillance des appels système socket(AF_ALG) et des opérations ebtables dans auditd pour détecter des tentatives d'exploitation