L’agence américaine de cybersécurité CISA a ajouté le 18 septembre 2026 trois vulnérabilités du noyau Linux à son catalogue des failles activement exploitées (Known Exploited Vulnerabilities, KEV). Les trois failles touchent des composants largement déployés du noyau, kTLS, netfilter/ebtables et l’interface cryptographique AF_ALG, et exigent des agences fédérales américaines un correctif ainsi qu’un examen forensique des équipements exposés.
Trois vulnérabilités du noyau Linux ajoutées au catalogue CISA KEV #
Selon les alertes officielles de la CISA publiées le 18 septembre 2026, les trois failles ont été confirmées comme activement exploitées et inscrites au catalogue KEV. Fait notable, la CISA a imposé pour chacune une exigence de « triage forensique » : au-delà du simple correctif, les organisations doivent examiner leurs équipements pour détecter d’éventuelles compromissions déjà survenues avant l’application du patch.
À retenir : une inscription au catalogue KEV signifie que l’exploitation n’est plus théorique. Pour les agences fédérales américaines, la date limite de correction était fixée au 21 septembre 2026 ; pour toute autre organisation, elle doit désormais être considérée comme dépassée.
Détail des trois failles : kTLS, ebtables et AF_ALG #
| CVE | CVSS | Composant | Type | Impact |
|---|---|---|---|---|
| CVE-2025-39682 | 9,8 (critique) | kTLS (TLS noyau) sur sockets TCP | Erreur de traitement d’un enregistrement de longueur nulle dans le chemin de réception | Divulgation mémoire ou déni de service pour les services exposés qui s’appuient sur kTLS |
| CVE-2026-53266 | 8,8 (élevé) | netfilter bridge ebtables (réécriture d’adresse SNAT ARP) | Débordement d’écriture (out-of-bounds write) | Corruption mémoire, déni de service ou élévation de privilèges locale |
| CVE-2025-39964 | 7,8 (élevé) | Interface cryptographique AF_ALG | Condition de concurrence (race condition) sur écritures simultanées | Blocage du système ou incohérence des résultats cryptographiques |
CVE-2025-39682 présente le risque le plus large : elle touche un chemin réseau accessible dès lors qu’un service utilise kTLS pour déporter le chiffrement TLS vers le noyau, une configuration courante sur les serveurs à forte charge. CVE-2026-53266 et CVE-2025-39964 nécessitent en revanche un accès local, mais permettent à un utilisateur non privilégié d’obtenir des privilèges supplémentaires ou de perturber le système, un scénario utile à un attaquant déjà présent après une première intrusion.
Une exploitation active confirmée, correctifs disponibles #
D’après les avis mis à jour par Red Hat le 19 septembre 2026, des preuves d’exploitation active existent pour CVE-2025-39682 et CVE-2026-53266, et du code de démonstration public circule pour ces deux failles. Les correctifs sont intégrés dans les mises à jour de noyau publiées par les distributions qui suivent les branches stables concernées ; comme le noyau Linux est un projet commun à l’ensemble de l’écosystème, la plupart des grandes distributions (Red Hat Enterprise Linux, Ubuntu, Debian, SUSE, Amazon Linux) publient leurs propres paquets correctifs selon leur calendrier respectif. Vérifiez l’avis de sécurité de votre distribution pour connaître la version de noyau corrigée exacte plutôt que de vous fier à un numéro de version générique.
Comment se protéger ? #
- Identifiez les systèmes exposés : recensez les serveurs utilisant kTLS (proxys TLS déchargés dans le noyau, certains serveurs web et de streaming) ainsi que les hôtes multi-utilisateurs où un accès local est possible.
- Appliquez les correctifs de votre distribution dès qu’ils sont disponibles, en commençant par les systèmes exposés à Internet et les serveurs multi-tenants.
- Réalisez le triage forensique recommandé par la CISA sur les équipements critiques déjà exposés : recherchez des traces d’exploitation dans les journaux système (
dmesg,journalctl), des processus ou modules noyau inhabituels, et des changements de règles ebtables non planifiés. - Limitez l’exposition en attendant le correctif : désactivez kTLS si son usage n’est pas indispensable, restreignez les règles ebtables aux besoins réels, et réduisez le nombre de comptes disposant d’un accès local aux serveurs sensibles.
- Priorisez avec un score CVSS contextualisé : au-delà du score de base, évaluez l’exposition réelle de chaque système avant de planifier les correctifs, à l’aide du calculateur CVSS et de la base CVE de ForenShield. Pour rappel, la lecture d’un score est détaillée dans notre guide pour comprendre le score CVSS.
- Renforcez plus largement vos environnements Linux : les principes de durcissement présentés dans notre article sur la sécurisation de Docker s’appliquent aussi à l’hôte Linux sous-jacent.
Points clés #
- CISA a ajouté le 18 septembre 2026 trois vulnérabilités du noyau Linux (CVE-2025-39682, CVE-2026-53266, CVE-2025-39964) à son catalogue KEV, avec exploitation active confirmée pour au moins deux d’entre elles.
- Les composants touchés sont kTLS, netfilter/ebtables et l’interface cryptographique AF_ALG, avec des scores CVSS allant de 7,8 à 9,8.
- La CISA exige un triage forensique en plus du correctif, pour détecter une éventuelle compromission antérieure sur les systèmes déjà exposés.
- La date limite fédérale du 21 septembre 2026 est dépassée : toute organisation utilisant ces composants doit corriger sans délai, en priorisant les systèmes exposés à Internet.
Ces failles du noyau Linux rappellent celle de Cisco ISE, également inscrite au catalogue KEV mi-septembre 2026 : la CISA impose un rythme de correction de plus en plus court dès qu’une exploitation active est confirmée.