Linux : exploit CVE-2026-31695 mène au root local en 5 ans

Ce qui s'est passé

Le 3 novembre 2026, Alexander Popov, chercheur en sécurité spécialisé dans la sécurité du noyau Linux, a publié une analyse complète et un exploit fonctionnel pour CVE-2026-31695, une vulnérabilité de type use-after-free découverte dans le sous-système virt_wifi du noyau Linux. La faille est vieille de près de cinq ans : elle a été introduite dans le code du noyau par le commit d43c65b05b84 et n'a jamais été détectée lors des revues de code successives, malgré des audits réguliers de la base de code du noyau Linux par des centaines de contributeurs dans le monde.

Techniquement, la vulnérabilité se situe dans la gestion des périphériques réseau virtuels du pilote virt_wifi, un adaptateur Wi-Fi virtuel utilisé principalement dans les environnements de test et de virtualisation. La correction amont porte le titre « wifi: virt_wifi: remove SET_NETDEV_DEV to avoid use-after-free », indiquant que l'appel à SET_NETDEV_DEV créait une référence pendante (dangling pointer) pouvant être exploitée pour corrompre la mémoire noyau. Une corruption de mémoire dans l'espace noyau permet classiquement à un attaquant de pointer vers une structure device usurpée et de contourner les mécanismes de durcissement du noyau comme SELinux ou AppArmor.

Popov a démontré l'exploitation complète sur une installation par défaut de Fedora 44 Server sur architecture x86_64 : un utilisateur local sans aucun privilège préalable peut obtenir un shell root. La technique d'exploitation utilise une structure device forgée pour tromper le noyau et passer les vérifications de protection de la mémoire. L'exploit publié est qualifié de fiable par plusieurs chercheurs ayant pu le reproduire indépendamment, ce qui signifie qu'il fonctionne de manière consistante sans se heurter aux aléas habituels liés à l'ASLR (Address Space Layout Randomization) ou aux techniques de heap spray.

La divergence sur la sévérité est notable. Le CNA kernel.org a attribué un score CVSS 3 de 7.8 (High), Amazon Linux a retenu la cote Important avec un score CVSS identique de 7.8, tandis que Red Hat a initialement classé la faille en Low. Cette discordance entre distributeurs reflète les différences d'évaluation liées aux configurations par défaut de leurs distributions respectives et à la présence ou non du module virt_wifi dans les builds standards. Le CERT-EU a publié un avis de sécurité qualifiant la faille de High dans son bulletin du 3 novembre 2026, rejoignant l'évaluation d'Amazon Linux.

Les correctifs sont intégrés dans les versions stables de noyau suivantes : 5.15.203, 6.1.168, 6.6.134, 6.12.81, 6.18.22 et 6.19.12. Ces versions correspondent aux branches Long Term Support (LTS) et latest du noyau maintenues par kernel.org. Les administrateurs systèmes utilisant Ubuntu, Debian, RHEL, SUSE ou Fedora doivent attendre les backports de leurs distributeurs respectifs, dont la publication est attendue dans les 48 à 72 heures suivant la divulgation publique. Pour Fedora 44, une mise à jour a été signalée comme imminente par les mainteneurs du projet.

Pour vérifier l'exposition d'un système, les administrateurs peuvent exécuter deux commandes : uname -r pour connaître la version du noyau en cours d'exécution et la comparer aux versions patchées, et lsmod | grep virt_wifi pour vérifier si le module incriminé est actuellement chargé. Si le module est absent ou si le noyau est déjà patché, le risque est nul. Dans le cas contraire, une mise à jour doit être appliquée en priorité, suivie d'un redémarrage du système pour charger le nouveau noyau corrigé.

L'impact de la vulnérabilité est limité à l'escalade de privilèges locale : un attaquant doit disposer d'un accès préalable au système, par exemple via un compte utilisateur compromis, une session SSH ou un accès physique. La faille ne permet pas une exploitation à distance directe sans prérequis d'accès. Cependant, dans les scénarios de post-exploitation courants employés par les groupes APT et les opérateurs de ransomware, une escalade de privilèges locale est précisément le chainon manquant entre un accès initial limité et la compromission totale d'un hôte critique.

Le délai de cinq ans entre l'introduction du bug et sa découverte illustre la difficulté inhérente à l'audit de sécurité d'une base de code aussi massive que le noyau Linux, qui compte désormais plus de 30 millions de lignes de code et reçoit des centaines de commits quotidiens. Des initiatives comme le programme de bug bounty de la Linux Foundation et les audits conduits par Google Project Zero, Qualys et Openwall contribuent à réduire ce délai, mais la découverte tardive de vulnérabilités introduites par commits anodins reste un défi structurel persistant pour l'écosystème open source.

Pourquoi c'est important

La publication d'un exploit fonctionnel pour une faille de noyau modifie substantiellement le niveau de risque opérationnel : une vulnérabilité théorique devient une menace immédiatement exploitable que des acteurs malveillants peuvent intégrer dans leurs arsenaux sans délai. Les failles d'escalade de privilèges locales dans le noyau Linux sont particulièrement recherchées dans les contextes post-exploitation, que ce soit lors d'intrusions APT visant des serveurs Linux en entreprise, de compromissions de pipelines CI/CD, ou de tentatives de break-out de conteneurs sur des hôtes Kubernetes mal configurés.

Le noyau Linux est omniprésent dans les infrastructures modernes : serveurs web, bases de données, systèmes embarqués, orchestrateurs cloud (la quasi-totalité des noeuds AWS, GCP et Azure tournent sous Linux), équipements réseau et systèmes industriels. Même si la faille nécessite un accès local préalable, elle s'inscrit dans un arsenal d'exploitation en couches où elle constitue l'élément manquant entre un accès initial limité — obtenu via phishing, exploitation d'un service web ou credential compromise — et la compromission totale d'un serveur.

La divergence de sévérité entre les éditeurs (Red Hat Low vs Amazon Linux Important) pose un problème concret de priorisation pour les équipes de sécurité opérationnelle. Les organisations qui s'appuient uniquement sur les flux CVSS de leur distributeur pour prioriser leurs patches risquent de sous-estimer l'urgence de ce correctif si elles utilisent principalement des systèmes Red Hat Enterprise Linux. Les équipes de gestion des vulnérabilités doivent croiser plusieurs sources de threat intelligence et tenir compte du contexte de déploiement pour évaluer correctement la priorité de ce patch.

Cette découverte rappelle l'importance de maintenir un programme de mise à jour du noyau Linux rigoureux et régulier, y compris sur les systèmes considérés comme stables ou peu exposés. La doctrine selon laquelle un serveur interne peut tolérer des mises à jour différées trouve ici ses limites : un seul utilisateur malveillant ou un compte compromis suffit à exploiter cette faille pour escalader jusqu'aux droits root et prendre le contrôle total de la machine.

Ce qu'il faut retenir

• Vérifier immédiatement la version du noyau avec uname -r et appliquer les mises à jour dès disponibilité auprès de votre distribution Linux.
• Vérifier si le module virt_wifi est chargé avec lsmod | grep virt_wifi pour évaluer l'exposition immédiate du système.
• Traiter cette faille avec la même urgence qu'une RCE distante dans les environnements multi-utilisateurs, les serveurs CI/CD, et les hôtes Kubernetes.