Linux CVE-2026-98432 : Ubuntu et RHEL sans correctif

Ce qui se passe

CVE-2026-98432 vise le code TCP du noyau Linux, depuis la version 4.4. Le correctif en amont date du 5 octobre. Le 27, Anthropic a raconté que son modèle Claude avait écrit, après une amorce humaine, un exploit donnant un root à distance sans identifiant sur un serveur doté d'un écouteur multipath TCP (MPTCP). Ni le CVE ni le commit ne mentionnent MPTCP : ce lien vient du seul billet d'Anthropic, qui ne donne ni le code, ni la version, ni la configuration testée.

Le correctif du noyau crédite Xinyang Ge, chercheur chez Anthropic. Au 29 octobre, ni les éditeurs, ni le CVE, ni Anthropic ne signalent d'attaque réelle.

Le mécanisme

À la fin de la poignée de main, le noyau transmet à la nouvelle socket les options IP de la requête en attente, sans en faire de copie. Si cette socket disparaît pendant qu'un autre cœur s'en sert pour répondre à une requête renvoyée, il lit de la mémoire libérée. IPv6 copie ces options et n'est pas touché.

Selon Anthropic, une course perdue n'interrompt que la connexion tentée, sans planter la machine : on peut donc réessayer. Son essai a pris 48 minutes pour contourner KASLR, puis 5 minutes pour lancer une commande en root.

Où en est votre distribution

État au 29 octobre, à vérifier sur la page de votre éditeur.

RHEL 7 n'est pas affecté. Red Hat comme Ubuntu ne donnent aucune date.

Les notes divergent parce que l'équipe du noyau juge la course facile à provoquer et que les éditeurs la jugent difficile. Red Hat affiche même deux chiffres : 5,9 sur sa page CVE, 8,1 dans son fichier d'avis.

Comment s'y prendre

1. Installez le paquet corrigé s'il existe. En compilant vous-même : 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 ou 7.3. L'équipe du noyau recommande la dernière stable et ne soutient pas la reprise d'un seul correctif.

2. Sinon, repérez les écouteurs MPTCP (la commande suivante vient de nous, pas des avis cités) :

   ss -Mln

3. Pour les programmes Go, MPTCP est actif à l'écoute par défaut depuis Go 1.24. Deux réglages le coupent, et SetMultipathTCP dans le code passe outre les deux :

   # à l'exécution
   GODEBUG=multipathtcp=0 ./mon-service
   # à la compilation, dans le go.mod du module principal
   # godebug multipathtcp=0

Ce qu'on ne sait pas

L'équipe de sécurité de Go qualifie ce réglage de fragile : un seul écouteur oublié laisse le système exposé, et le bug ne dépend pas de MPTCP. Red Hat ne retient aucune mesure d'atténuation. Aucun avis ne dit si désactiver MPTCP dans le noyau, ou filtrer les requêtes porteuses d'options IP, réduit le risque.

Source : The Hacker News, 29 octobre 2026, mis à jour le 30. Source en anglais. Compléments cités par l'article : billet d'Anthropic, suivi Ubuntu, suivi Red Hat.