CVE-2026-98432 : Linux kernel MPTCP RCE racine CVSS 9.8

Les faits

CVE-2026-98432 est une vulnérabilité critique de type use-after-free dans la pile IPv4 TCP du noyau Linux. Avec un score CVSS de 9.8 (Critical), elle permet à un attaquant distant non authentifié d'exécuter du code arbitraire avec les privilèges root sur tout serveur Linux exposant un listener MPTCP (Multipath TCP). La faille affecte les noyaux Linux depuis la version 4.4, couvrant ainsi plus d'une décennie de déploiements et une part très importante des serveurs Linux en production dans le monde.

La vulnérabilité a été identifiée dans la gestion du handshake TCP au sein du sous-système MPTCP du noyau. Un use-after-free (UAF) se produit lorsqu'un pointeur vers une zone mémoire libérée est réutilisé, ouvrant la possibilité pour un attaquant de contrôler l'exécution du programme en manipulant le contenu de cette zone mémoire libérée. Dans le contexte du noyau Linux, l'exploitation d'un UAF peut mener à une élévation de privilèges vers root ou à une exécution de code arbitraire en mode kernel, soit la compromission totale du système.

L'équipe Frontier Red Team d'Anthropic a publié ses recherches sur CVE-2026-98432 le 27 octobre 2026. Selon leurs travaux, leur exploit de démonstration (Proof of Concept) a nécessité environ 48 minutes pour fuiter une adresse kernel via le heap spray et 5 minutes supplémentaires pour obtenir l'exécution de commandes avec les droits root. Le code de l'exploit n'a pas été rendu public, mais la publication des détails techniques a fourni suffisamment d'informations pour que d'autres chercheurs et acteurs malveillants développent leurs propres outils d'exploitation.

Un élément particulièrement préoccupant soulevé par les analyses d'Aviatrix et d'autres chercheurs est que les configurations RHEL (Red Hat Enterprise Linux) par défaut restent exposées même avec MPTCP désactivé. Cela élargit considérablement la surface d'attaque au-delà des seuls serveurs ayant explicitement activé MPTCP. Cette précision est critique pour les équipes de sécurité : sur RHEL, la désactivation de MPTCP via sysctl n'est pas une mitigation suffisante, contrairement à ce que l'on pourrait supposer en première analyse.

Le 8 novembre 2026, le chercheur en sécurité Marcus Hutchins (MalwareTech), connu pour avoir stoppé la propagation du ransomware WannaCry en 2017, a signalé avoir détecté ce qui semble être une activité de scan ciblant les serveurs Linux exposant des listeners MPTCP à l'échelle d'internet. Hutchins a précisé que ses données suggèrent que le nombre de cibles potentielles est élevé, sans toutefois qualifier cette activité d'exploitation confirmée — il s'agit d'une phase de reconnaissance précédant généralement des campagnes d'exploitation à grande échelle.

La faille se situe dans la fonction de gestion du handshake IPv4 TCP, dans le code traitant les connexions MPTCP entrantes. Sans entrer dans les détails techniques qui pourraient faciliter l'exploitation, le problème fondamental est un défaut de gestion du cycle de vie des objets mémoire lors de certaines séquences de paquets TCP spécialement forgés. L'attaquant doit pouvoir joindre un port ouvert sur lequel le serveur écoute avec un socket MPTCP. Les services courants pouvant utiliser MPTCP incluent les serveurs web (nginx, Apache), les services SSH configurés avec des sockets MPTCP, et tout démon réseau compilé avec le support MPTCP ou utilisant des options kernel activant MPTCP par défaut.

Du côté des correctifs, Ubuntu a publié des patches dans son dépôt -proposed (pré-stable) pour les versions LTS concernées. Les utilisateurs RHEL doivent surveiller les bulletins Red Hat Security Advisory (RHSA) pour la disponibilité des patches, qui n'étaient pas encore confirmés publiquement au 9 novembre 2026 selon les sources disponibles. Les distributions dérivées (Debian, Arch Linux, openSUSE) ont leurs propres calendriers de backport. La mise à jour du noyau nécessite un redémarrage complet du système — point important pour planifier la maintenance sur les environnements de production critiques.

CVE-2026-98432 n'était pas encore répertoriée dans le catalogue CISA KEV au 9 novembre 2026. Cela pourrait changer rapidement si des exploitations confirmées in-the-wild sont documentées dans les prochains jours. Les administrateurs système ne doivent pas attendre une éventuelle entrée KEV pour agir : la combinaison CVSS 9.8, exploit de démonstration publié par des chercheurs crédibles (Anthropic Frontier Red Team), et scan actif détecté sur internet constitue un signal d'alerte suffisant pour justifier une remédiation urgente sans délai.

Impact et exposition

L'exposition est massive : CVE-2026-98432 affecte tous les noyaux Linux depuis la version 4.4, publiée en 2016. Cela couvre la quasi-totalité des serveurs Linux en production dans le monde, que ce soit dans les datacenters, les environnements cloud (AWS, GCP, Azure utilisant des images Linux), les conteneurs (Docker, Kubernetes avec noyau host vulnérable) et les appliances réseau embarquées. Ubuntu 20.04, 22.04 et 24.04, RHEL 8 et 9, Debian 11 et 12, et leurs dérivés sont tous concernés tant qu'ils utilisent un noyau non patché pour CVE-2026-98432.

Les conditions d'exploitation requièrent qu'un service accessible depuis internet utilise un socket MPTCP, ou que le serveur utilise une configuration noyau exposant la faille sans MPTCP actif (cas RHEL). Les serveurs web, les services SSH, les API REST et tout démon réseau exposé peuvent constituer un vecteur si le noyau sous-jacent est vulnérable. L'exploitation complète telle que démontrée prend environ 53 minutes, impliquant que l'attaquant dispose d'un accès réseau stable — ce qui est possible pour des cibles persistantes de grande valeur.

L'impact potentiel est critique : une exploitation réussie donne un accès root complet au serveur, permettant l'installation de rootkits, l'exfiltration de données, le déploiement de malwares, l'accès aux secrets en mémoire (clés SSH, tokens, certificats) et l'utilisation du serveur compromis comme pivot dans le réseau interne. Les environnements multi-tenant (hébergement partagé, Kubernetes) présentent également un risque d'évasion de conteneur si le noyau host est compromis.

Recommandations immédiates

• Appliquer les patches kernel disponibles pour votre distribution immédiatement et redémarrer le système — Ubuntu patches disponibles dans le dépôt -proposed ; surveiller les RHSA Red Hat pour RHEL
• Mitigation partielle (si patch non immédiatement applicable) : désactiver MPTCP avec sysctl -w net.mptcp.enabled=0, puis redémarrer les services réseau exposés — attention : inefficace pour les sockets déjà liés et sur RHEL en configuration par défaut
• Identifier les services exposés utilisant MPTCP : ss -tlnp | grep -i mptcp ou analyser les options TCP des sockets ouverts avec ss -o
• Surveiller les connexions réseau inhabituelles et les anomalies kernel dans les logs système (/var/log/kern.log, dmesg) pouvant indiquer une tentative d'exploitation
• Pour RHEL : ne pas supposer que la désactivation de MPTCP est suffisante — la configuration par défaut reste exposée selon les analyses disponibles ; appliquer le RHSA dès sa disponibilité