CVE-2026-80521 : Ubuntu expose ses conteneurs Docker à root

Ce qui s'est passé

Le 22 septembre 2026, la société de recherche en sécurité DepthFirst a publié un rapport technique détaillé accompagné d'un exploit fonctionnel pour CVE-2026-80521, une vulnérabilité de type use-after-free dans le sous-système AF_UNIX du noyau Linux. Cette faille, dotée d'un score CVSS de 7.8, permet à un attaquant disposant d'un accès à un conteneur non privilégié de briser l'isolation du namespace, de contourner les limites des cgroups et de passer outre le filtrage seccomp pour obtenir un shell root interactif sur la machine hôte.

Le problème réside dans le mécanisme de collecte des ordures (garbage collector) du sous-système AF_UNIX. Plus précisément, la gestion des références de descripteurs de fichiers via les messages SCM_RIGHTS crée une condition de course à l'intérieur du garbage collector d'AF_UNIX. En exploitant cette race condition, un attaquant peut provoquer un use-after-free — c'est-à-dire accéder à une zone mémoire après sa libération — et finalement élever ses privilèges jusqu'à root sur l'hôte physique ou virtuel qui exécute les conteneurs.

Le correctif pour cette vulnérabilité a été intégré au code source du noyau Linux upstream le 6 août 2026. Cependant, Canonical n'a toujours pas livré ce patch dans les mises à jour de sécurité de ses distributions Ubuntu LTS — ni pour Ubuntu 22.04 LTS (Jammy Jellyfish), ni pour Ubuntu 24.04 LTS (Noble Numbat), ni pour la dernière version Ubuntu 26.04 LTS (publiée en avril 2026). Les variantes noyau spécialisées pour les environnements cloud — AWS, Azure et GCP — sont également concernées.

DepthFirst a démontré l'attaque en conditions réelles sur Ubuntu 26.04 LTS dans une configuration Docker par défaut. La démonstration montre un conteneur standard, sans privilèges spéciaux, dont un processus interne parvient à obtenir un shell root sur l'hôte en quelques secondes d'exécution de l'exploit. La vidéo de démonstration et le code source de l'exploit ont été publiés simultanément, ce qui signifie que tout attaquant disposant d'un accès à un conteneur Ubuntu peut reproduire l'attaque sans nécessiter de compétences avancées en exploitation.

L'impact potentiel est considérable. Docker et Kubernetes sont les deux environnements d'exécution de conteneurs les plus répandus au monde, et Ubuntu est l'une des distributions Linux les plus utilisées comme système d'exploitation hôte dans les infrastructures cloud et on-premise. Une évasion de conteneur réussie permet non seulement de compromettre l'hôte lui-même, mais également d'accéder à l'ensemble des autres conteneurs qui y tournent, aux secrets montés dans des volumes, aux clés d'API stockées dans des variables d'environnement, et potentiellement au réseau interne de l'organisation si l'hôte est connecté à des réseaux de gestion.

À la date de publication de cet article, CVE-2026-80521 n'est pas inscrite dans le catalogue KEV (Known Exploited Vulnerabilities) de la CISA, et aucune exploitation confirmée en conditions réelles n'a été rapportée. Cependant, la disponibilité publique d'un exploit fiable réduit considérablement la barrière d'entrée pour les attaquants. Historiquement, les vulnérabilités d'évasion de conteneur avec exploit public voient leur fenêtre avant première exploitation se mesurer en jours, voire en heures dans les environnements à forte exposition.

Les équipes Red Team et les chercheurs en bug bounty ont immédiatement intégré l'exploit dans leurs outils de test, comme le confirment plusieurs fils de discussion sur des forums spécialisés. Des frameworks d'exploitation populaires ont déjà reçu des pull requests pour inclure CVE-2026-80521 dans leurs modules d'escalade de privilèges et d'évasion de conteneur.

Du côté de Canonical, la société n'a pas communiqué de calendrier précis pour la livraison du patch sur ses distributions LTS. Cette absence de communication contraste avec la pratique habituelle de l'éditeur, qui publie généralement rapidement des mises à jour de sécurité pour les vulnérabilités critiques du noyau. La complexité du mécanisme AF_UNIX et la nécessité de valider le patch sur plusieurs configurations matérielles pourraient expliquer le délai, mais cette justification est difficile à maintenir six semaines après le correctif upstream.

Pourquoi c'est important

Les vulnérabilités d'évasion de conteneur occupent une place à part dans le paysage des menaces pour les infrastructures cloud natives. Contrairement aux failles qui permettent de compromettre une application ou d'escalader des privilèges à l'intérieur d'un conteneur, l'évasion casse le modèle d'isolation fondamental sur lequel repose la sécurité de toute architecture de microservices. Un attaquant qui réussit à sortir d'un conteneur se retrouve sur l'hyperviseur ou le nœud Kubernetes avec des droits root, ce qui lui ouvre l'accès à l'intégralité du plan de contrôle de l'infrastructure.

Le délai de six semaines entre le correctif upstream et la non-livraison par Canonical illustre un problème structurel bien connu dans l'écosystème Linux : le pipeline de validation des distributions introduit un délai incompressible entre la disponibilité d'un patch et sa mise à disposition effective pour les utilisateurs finaux. Ce délai est encore aggravé par la fragmentation des variantes noyau — générique, cloud AWS, cloud Azure, cloud GCP — chacune nécessitant une validation indépendante. Pour les organisations ayant une posture de sécurité mature, ce type de situation justifie l'usage de mécanismes comme les live patches (Canonical Livepatch, kpatch) qui permettent d'appliquer des corrections noyau sans redémarrage.

La publication simultanée du rapport et de l'exploit par DepthFirst est elle-même sujette à débat dans la communauté. Certains chercheurs estiment que la divulgation coordinée aurait dû attendre la disponibilité du patch Ubuntu avant de rendre l'exploit public. D'autres soutiennent que la pression exercée par la publication d'un exploit fonctionnel est le seul moyen d'inciter les distributeurs à accélérer leur pipeline de validation. Cet équilibre entre responsible disclosure et publication complète est au cœur des discussions éthiques de la recherche en sécurité depuis des décennies.

Pour les équipes DevSecOps, cette vulnérabilité est un rappel que la sécurité des conteneurs ne peut pas se limiter à la sécurisation des images applicatives. Le runtime et le noyau hôte constituent des composantes critiques de la surface d'attaque, et leur surveillance doit être intégrée dans les pipelines de gestion des vulnérabilités au même titre que les bibliothèques applicatives. Des outils comme Falco, Sysdig ou Tetragon permettent de détecter des comportements d'évasion en temps réel et auraient pu signaler une tentative d'exploitation de CVE-2026-80521.

Ce qu'il faut retenir

• CVE-2026-80521 permet l'évasion de conteneur vers root hôte via une race condition dans l'AF_UNIX garbage collector ; un exploit public est disponible depuis le 22 septembre 2026, et Ubuntu 22.04/24.04/26.04 LTS restent non patchés.
• En l'absence de patch Canonical, les mitigations immédiates incluent la restriction du syscall unshare via seccomp renforcé, l'utilisation de runtimes isolés comme gVisor ou Kata Containers, et l'activation de Canonical Livepatch pour les environnements critiques.
• Les équipes DevSecOps doivent intégrer la surveillance des comportements d'évasion noyau (via Falco ou Tetragon) en complément des scans de vulnérabilités d'images applicatives.