CVE-2026-98432 est une faille critique de type use-after-free dans l’implémentation TCP/IPv4 du noyau Linux, notée jusqu’à 9,8 sur l’échelle CVSS par l’équipe noyau et découverte par le chercheur Xinyang Ge, d’Anthropic. Elle touche les principales distributions depuis le noyau 4.4 et reste sans correctif publié sur Ubuntu et Red Hat Enterprise Linux (RHEL) à la date du 31 octobre 2026, même si un correctif amont existe depuis le 5 octobre. Anthropic affirme que son modèle Claude a généré de façon autonome un exploit fonctionnel contre cette faille, sans toutefois le rendre public.
Qu’est-ce que la faille CVE-2026-98432 ? #
La vulnérabilité se situe dans l’établissement d’une connexion TCP IPv4 et provient d’une condition de concurrence qui permet au noyau de lire une zone mémoire déjà libérée. Le bug a été introduit dans le noyau Linux 4.4 ; les connexions IPv6 ne sont pas concernées, le noyau copiant les options de connexion dans ce cas.
Les versions de noyau 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 et 7.3 corrigent la faille, via le correctif amont appliqué le 5 octobre 2026. L’équipe du noyau recommande de migrer vers la dernière version stable plutôt que d’isoler un correctif individuel.
Le score CVSS de 9,8 retenu par l’équipe du noyau Linux suppose une complexité d’attaque faible. Plusieurs éditeurs s’écartent de cette évaluation : Red Hat retient un score CVSS de 8,1 dans son avis (5,9 sur sa fiche CVE), Oracle et SUSE retiennent également 8,1, et Amazon retient 7,0. L’écart tient surtout à la complexité d’exploitation réellement estimée, et non à une gravité moindre de la faille elle-même.
Quelles distributions restent exposées ? #
Ce n’est pas la première fois cette année que le noyau Linux fait l’objet d’un rattrapage généralisé : en septembre, trois failles déjà exploitées avaient été ajoutées au catalogue CISA KEV.
| Distribution | Statut au 29-31 octobre 2026 |
|---|---|
| Ubuntu 16.04 à 26.10 (y compris Cloud, FIPS, temps réel) | Vulnérable, correctif en cours |
| Red Hat Enterprise Linux 8, 9, 10 et OpenShift 4 | Vulnérable, correctif en cours (RHEL 7 non concerné) |
| Amazon Linux 2023 | Paquet kernel6.18 corrigé le 24/10 ; kernel6.12 corrigé le 29/10 |
| Oracle Linux 7 à 10 (UEK) | Corrigé le 16/10 |
| Debian Trixie / Bookworm | Corrigé les 16, 17 et 22 octobre |
| SUSE (plusieurs branches) | Partiellement corrigé, correctifs en cours selon la branche |
Le CERT-FR a publié le 30 octobre 2026 un avis de sécurité référençant CVE-2026-98432, au sein d’un lot de 187 vulnérabilités du noyau Linux de SUSE (CERTFR-2026-AVI-1432). Le même jour, le CERT-FR a publié un avis distinct sur le noyau Linux de Red Hat, qui ne mentionne pas spécifiquement cette CVE mais illustre le rythme des correctifs noyau à suivre pour toutes les distributions d’entreprise.
La faille est-elle exploitée ? #
Non, pas de façon documentée à ce jour. Le 27 octobre 2026, Anthropic a indiqué que son modèle Claude avait rédigé de façon autonome un exploit fonctionnel contre CVE-2026-98432, capable en théorie de faire exécuter du code en tant que root sur un serveur exposant un service d’écoute MPTCP (Multipath TCP), selon The Hacker News. L’entreprise n’a publié ni le code de l’exploit, ni la version, ni la configuration de noyau testée.
Au 29 octobre 2026, aucune attaque exploitant cette faille n’avait été recensée publiquement, et la vulnérabilité ne figurait pas encore au catalogue CISA KEV des failles activement exploitées. Cette démonstration s’inscrit dans une tendance plus large de recherches sur la capacité de l’intelligence artificielle à accélérer la découverte d’exploits, un sujet déjà abordé sur ce blog avec la manipulation d’agents IA de codage via un fichier AGENTS.md piégé. Elle ne change rien aux priorités de correction : la faille reste critique indépendamment de l’existence ou non d’un exploit public.
Comment se protéger en attendant un correctif ? #
- Suivez l’avis de votre distribution (Ubuntu, Red Hat, Debian, SUSE, Oracle, Amazon Linux) et appliquez le noyau corrigé dès sa publication.
- Si vous utilisez Multipath TCP (MPTCP), en particulier avec des programmes écrits en Go 1.24 ou plus récent qui l’activent par défaut sur les sockets d’écoute, désactivez-le temporairement avec
GODEBUG=multipathtcp=0au lancement, ougodebug multipathtcp=0dans le fichiergo.mod. L’équipe sécurité de Go qualifie elle-même cette parade de fragile, la faille ne se limitant pas à MPTCP. - Sachez que Red Hat indique n’avoir identifié aucune mitigation répondant à ses critères de simplicité de déploiement, de compatibilité large et de stabilité : il n’existe pas de contournement officiel validé en dehors du correctif complet du noyau.
- Inventoriez les serveurs exposant un service réseau sur IPv4 avec une pile TCP vulnérable, en priorisant les systèmes accessibles depuis Internet, pour les corriger en premier. L’outil ForenShield de consultation de la base CVE permet de suivre la publication des correctifs pour chaque distribution.
- Au-delà de ce correctif ponctuel, une politique de durcissement plus large, comme celle décrite dans notre guide sur les CIS Benchmarks, limite l’impact d’une future faille similaire.
L’avis du CSIRT #
Avec un score CVSS de 9,8 retenu par l’équipe noyau et un correctif encore absent sur deux des distributions les plus utilisées en entreprise, Ubuntu et RHEL, la priorité est de ne pas se fier à un seul score pour décider de l’urgence. Les divergences entre éditeurs sur la complexité d’exploitation, de 5,9 à 9,8 selon la source, ne changent rien à la gravité réelle d’un use-after-free dans le code réseau : elles reflètent des méthodologies de notation différentes, pas une faille moins sérieuse chez les éditeurs les plus prudents.
Côté détection, en l’absence de correctif, il n’existe pas de signature fiable pour repérer une tentative d’exploitation avant qu’elle ne réussisse. La seule option défensive solide, en dehors du correctif, reste de réduire la surface d’attaque : désactivation de MPTCP si possible, restriction de l’exposition réseau des serveurs vulnérables.
Le piège classique sur ce type d’alerte est de considérer qu'« aucune exploitation connue » équivaut à « aucun risque immédiat » : l’historique récent des failles noyau Linux montre que le délai entre une preuve de concept privée et une exploitation publique peut se compter en jours. Après l’application du correctif, vérifiez la version de noyau réellement chargée, et pas seulement le paquet installé, sur chaque système, en particulier après un redémarrage différé ou une mise à jour automatisée incomplète.
Points clés #
CVE-2026-98432 est une faille critique de type use-after-free dans la pile TCP/IPv4 du noyau Linux, notée jusqu’à 9,8 sur l’échelle CVSS, et reste sans correctif publié sur Ubuntu et Red Hat Enterprise Linux au 31 octobre 2026, bien qu’un correctif amont existe depuis le 5 octobre. Anthropic affirme que son modèle Claude a généré un exploit fonctionnel contre cette faille, sans qu’aucune exploitation réelle n’ait été recensée à ce jour. En l’absence de contournement officiel validé, la priorité reste d’appliquer le correctif dès sa publication par votre distribution et de limiter, en attendant, l’exposition réseau des systèmes concernés.