Une vulnérabilité de gravité critique, répertoriée sous CVE-2026-98432, touche le sous-système réseau IPv4 du noyau Linux. Red Hat a diffusé un bulletin d’alerte le 30 octobre 2026. Une démonstration de prise de contrôle à distance a été présentée dans certaines configurations avec Multipath TCP ; elle ne doit pas être confondue avec une exploitation systématique de tous les serveurs Linux.

Ce qui est établi

La vulnérabilité relève d’un problème de mémoire libérée alors qu’elle peut encore être utilisée (« use-after-free ») lors du traitement concurrent de requêtes TCP, notamment des connexions retransmises. Des paquets réseau spécialement synchronisés peuvent provoquer une corruption de mémoire et, selon les conditions, un plantage du noyau ou une exécution de code. Red Hat classe l’impact comme critique et affiche un score CVSS de 9,8 sur la fiche dédiée.

La démonstration rendue publique concerne notamment un serveur doté d’un écouteur Multipath TCP (MPTCP), protocole permettant à une connexion d’utiliser plusieurs chemins. Ce scénario de laboratoire ne signifie pas que toutes les machines peuvent immédiatement être compromises à distance. La surface potentiellement exposée dépasse néanmoins MPTCP : le problème touche une partie du traitement TCP IPv4.

Les versions concernées : raisonner par distribution et par paquet

Red Hat mentionne RHEL 8, 9 et 10 ainsi que des produits utilisant ces noyaux. Debian documente des correctifs pour Bookworm (version source linux 6.1.190-1 dans le dépôt sécurité) et Trixie (6.12.113-1 dans le dépôt sécurité). Ces références ne constituent pas une liste exhaustive des autres distributions. Pour Ubuntu, Rocky Linux, SUSE ou les plateformes cloud, le statut doit être vérifié auprès de leur éditeur et pour le noyau réellement installé.

Chronologie

• 15 octobre 2026 : publication de la fiche CVE mentionnée par Red Hat.
• 30 octobre 2026 : diffusion du bulletin de sécurité Red Hat RHSB-2026-016 et publication d’analyses techniques détaillées.
• 2 novembre 2026 : des correctifs existent chez certains éditeurs ; les niveaux de couverture et calendriers dépendent des versions.

Ce que les administrateurs doivent faire

• Inventorier les hôtes Linux, les versions exactes des noyaux, les services exposés sur Internet et les environnements de conteneurs.
• Comparer chaque environnement avec les avis de sécurité de son fournisseur, puis appliquer les mises à jour validées et redémarrer lorsqu’une mise à jour du noyau le nécessite.
• À défaut de correctif immédiat, réduire l’exposition réseau et évaluer les mesures compensatoires documentées par Red Hat, après essais dans un environnement non productif.
• Ne pas considérer la seule désactivation de MPTCP comme une réparation complète du problème.

Ce qui demeure incertain

À la date de cette édition, aucune campagne d’exploitation malveillante en conditions réelles n’est démontrée par les sources consultées. Des niveaux de gravité divergents peuvent refléter des modèles de risque différents entre l’évaluation CVE, les éditeurs et les configurations. Une vérification régulière des avis est donc indispensable.

Sources documentaires

Red Hat, bulletin RHSB-2026-016, 30 octobre 2026 ; Red Hat, fiche CVE-2026-98432 ; Debian Security Tracker ; BleepingComputer, 30 octobre 2026.

Glossaire

TCP : protocole de transport réseau. MPTCP : extension de TCP exploitant plusieurs chemins. Use-after-free : utilisation d’une zone mémoire après sa libération. CVSS : méthode de notation de la gravité d’une vulnérabilité.

Illustration éditoriale originale générée pour PRODPRESS®. Les visuels ne constituent pas une photographie des faits.

Christophe Martin-Landré — ChrissM
Journaliste d’investigation · Directeur de publication · PRODPRESS® / PRODPRESS MEDIA GROUP LLC
© 2026 PRODPRESS® — Tous droits réservés sur les créations originales. « Authentique. Impertinent. Libre. »
Rectifications : prodpress@protonmail.com.