Noyau Linux : use-after-free TCP CVE-2026-98432, criticité 9.8

CVE-2026-98432 est une vulnérabilité de type use-after-free dans la pile TCP/IPv4 du noyau Linux. L'équipe CVE du noyau et le NVD la notent 9.8. Publique depuis le 15 octobre, elle a depuis été corrigée par la plupart des distributions — et Red Hat, qui l'avait d'abord jugée « modérée », a relevé son évaluation. Next en détaille la portée côté distributions.

La faille

Le bug est une course entre deux cœurs du processeur : l'un lit les options IP d'une connexion en mémoire pendant que l'autre les libère lors de la fermeture de cette connexion. Un attaquant sans compte peut la déclencher en envoyant des demandes de connexion portant des options IPv4 peu utilisées — Record Route, Timestamp — vers un port TCP ouvert. Les connexions IPv6 ne sont pas concernées. Les noyaux vulnérables remontent à la branche 4.4, soit une dizaine d'années de code exposé.

Déni de service, pas « remote root » généralisé

L'impact établi est un déni de service (plantage) assorti d'un risque de fuite ou de corruption mémoire. L'exécution de code à distance n'a été démontrée que par Anthropic, avec un modèle de recherche interne et dans des conditions particulières (compte rendu du 27 octobre) — ce n'est pas une capacité « remote root » généralisée de la faille. Aucune exploitation active n'est confirmée à ce jour, même si des chercheurs signalent une activité de scan suspecte. La CVE n'est pas au catalogue KEV de la CISA.

Un score que les éditeurs n'évaluent pas pareil

Le 9.8 est le chiffre de l'équipe noyau, repris par Canonical. Red Hat avait initialement retenu 5,9 (« modérée »), mettant en avant la difficulté réelle de gagner la course et l'impact pratique de déni de service, avant de s'aligner sur 9,8. AWS retient de son côté 8,1 (« importante »). Cet écart — RCE critique contre DoS difficile à déclencher — est la vraie décision d'un responsable sécurité, et elle dépend de votre exposition réelle.

Que faire

1. Appliquez le correctif de votre distribution. Ubuntu 26.10 l'intègre (noyau 7.3.0-10.10) ; Ubuntu 26.04, 24.04 et 22.04 le proposent via le dépôt -proposed. Red Hat, Amazon Linux, Debian, SUSE et Oracle Linux ont publié leurs correctifs entre la mi-octobre et le début novembre — vérifiez l'avis de votre éditeur, le statut évolue.
2. Identifiez les hôtes exposés. Toute machine avec un port TCP accessible depuis Internet est concernée ; priorisez-les.
3. Palliatif en attendant. Rejetez en entrée les paquets TCP/IPv4 porteurs d'options IP (par exemple via nftables). Le trafic légitime n'en utilise quasiment jamais, mais testez avant de déployer.
4. Référez-vous aux sources primaires : la fiche NVD, le bulletin Red Hat RHSB-2026-016 et l'avis AWS ALAS pour les versions exactes.

Contexte

La faille illustre un motif désormais récurrent : une CVSS de base élevée (9.8) dont l'exploitabilité réelle se joue sur des préconditions étroites, d'où les scores divergents entre éditeurs. Elle est aussi l'un des premiers cas très médiatisés d'exploit construit par un modèle d'IA en laboratoire, ce qui pèse sur la lecture du risque sans pour autant valider un scénario d'attaque généralisé. Corrigez selon l'état de votre propre parc, pas selon le chiffre du titre.