CVE-2026-98432 : RCE CVSS 9.8 noyau Linux, exploit confirmé

Les faits

Une vulnérabilité critique de type use-after-free a été identifiée dans le sous-système TCP/MPTCP (Multipath TCP) du noyau Linux, référencée CVE-2026-98432 avec un score CVSS 3.1 de 9.8. Cette faille permet à un attaquant distant non authentifié d'obtenir une exécution de code arbitraire au niveau du noyau, soit un accès root complet sur le système cible, sans aucun identifiant valide.

Le vecteur d'exploitation repose sur une condition de course dans la gestion des connexions IPv4 TCP lorsque MPTCP est activé. MPTCP, standardisé dans la RFC 8684, est désormais activé par défaut sur de nombreuses distributions Linux modernes, notamment Ubuntu depuis la version 22.04 et Debian depuis Bookworm. Cette activation par défaut élargit considérablement la surface d'attaque : des milliers de serveurs exposent ce vecteur sans que leurs administrateurs en soient conscients.

La faille a été identifiée lors d'une recherche menée en septembre 2026 et notifiée en privé à l'équipe de sécurité du noyau Linux. Des chercheurs ont développé un exploit fonctionnel obtenant un shell root distant sur un serveur Linux exposant un listener MPTCP. Le proof of concept cible spécifiquement la fenêtre de course dans le chemin de déallocation des structures sock lors de la fermeture simultanée de sous-flux MPTCP — un scénario reproductible avec un timing réseau précis depuis une connexion standard, sans accès physique ni compte local.

Au 7 novembre 2026, le code public ne couvre qu'une partie du chemin d'exploitation — suffisant pour confirmer la faisabilité mais pas directement weaponizable tel quel sans développement supplémentaire. Cependant, des acteurs disposant de ressources suffisantes sont capables de finaliser un exploit complet à partir des informations publiées. La plateforme SOC Prime a publié une analyse technique de la CVE le 6 novembre, ce qui accélère la fenêtre pendant laquelle un exploit opérationnel peut être mis au point par des acteurs motivés.

Les distributions touchées incluent toutes celles utilisant un noyau ≥ 5.6, qui est la version ayant introduit MPTCP en production. Sont concernés : Ubuntu 22.04 LTS et ultérieures, Debian 12 (Bookworm) et ultérieure, Fedora 34 et ultérieure, Red Hat Enterprise Linux 9.x, et Alpine Linux. Les systèmes embarqués et les appliances réseau sous Linux avec un noyau récent sont également potentiellement exposés — routeurs, load balancers, firewalls Linux, NAS.

Les patches ont été soumis à la branche mainline du noyau Linux le 4 novembre 2026. Debian a publié un bulletin de sécurité DSA le 6 novembre, suivi d'Ubuntu avec une USN le même jour. Red Hat a fourni une mise à jour pour RHEL 9.x le 7 novembre. Pour les distributions qui n'ont pas encore publié de mise à jour, une mitigation immédiate est possible en désactivant MPTCP via la commande sysctl : net.mptcp.enabled=0. Cette valeur doit être rendue persistante dans /etc/sysctl.d/.

Le risque est particulièrement élevé pour les serveurs directement exposés sur Internet — notamment les serveurs web, les reverse proxies, les équipements de téléphonie SIP sous Linux — qui acceptent des connexions TCP entrantes non filtrées. Dans les environnements cloud et les datacenters, les machines virtuelles bénéficient en général d'une couche d'isolation réseau supplémentaire, mais ce n'est pas une protection suffisante si le listener MPTCP est accessible depuis des segments non sécurisés ou des environnements multi-tenant.

L'intégration de MPTCP dans les noyaux récents répond à un besoin légitime de résilience réseau — notamment pour les connexions mobiles et les environnements multi-chemins. Cependant, cette fonctionnalité, activée par défaut sans que beaucoup d'administrateurs en aient conscience, représente une surface d'attaque non négligeable. C'est un pattern récurrent dans la sécurité Linux : une fonctionnalité de performance devient un vecteur d'attaque majeur faute de visibilité sur son activation par défaut.

Impact et exposition

Toute machine Linux avec un noyau ≥ 5.6 et MPTCP actif, exposant des ports TCP entrants, est potentiellement vulnérable. Les environnements les plus exposés sont les serveurs bare-metal et les VM directement accessibles depuis Internet. Les conteneurs Docker partagent le noyau de l'hôte : si l'hôte est vulnérable, un attaquant ayant accès réseau à un conteneur peut cibler le noyau sous-jacent. Les appliances réseau sous Linux — routeurs, firewalls, load balancers — représentent un vecteur critique car elles sont souvent directement exposées et moins fréquemment mises à jour que les serveurs applicatifs classiques.

Recommandations

• Immédiat — désactiver MPTCP si non requis : sysctl -w net.mptcp.enabled=0 (persistant via /etc/sysctl.d/). Vérifier que les applications ne dépendent pas de MPTCP avant d'appliquer. Sur la quasi-totalité des serveurs applicatifs, MPTCP n'est pas utilisé activement.
• Patcher en urgence : appliquer les mises à jour noyau fournies par votre distribution (Debian DSA, Ubuntu USN, RHEL advisory). Redémarrer le système pour charger le nouveau noyau — un patch noyau non rechargé n'est pas actif.
• Auditer l'exposition : identifier tous les systèmes Linux avec noyau ≥ 5.6 exposés sur Internet ou sur des segments non fiables. Inventaire via Ansible : ansible all -m command -a "uname -r && sysctl net.mptcp.enabled".
• Renforcer la segmentation : les listeners TCP exposés directement sans pare-feu frontal doivent être protégés par des règles de filtrage limitant les connexions entrantes aux sources légitimes identifiées.