Nouvelle faille Linux sans mise à jour officielle sur Ubuntu et Red Hat : les mesures temporaires pour protéger les serveurs de votre entreprise en attendant le correctif

La faille CVE-2026-98432 touche l'accueil des connexions TCP par le noyau Linux. Elle permet à un attaquant distant, sans mot de passe, de faire planter le serveur ou de corrompre la mémoire du noyau. L'équipe CVE du noyau la note 9,8 sur 10, et Anthropic affirme que son modèle Claude a écrit un exploit donnant les droits root sur les serveurs qui acceptent des connexions MPTCP. Le correctif existe dans le noyau officiel et Debian l'a publié, mais au 30 octobre 2026, Ubuntu le dit en cours pour 22.04, 24.04 et 26.04, et Red Hat classe RHEL 8, 9 et 10 comme affectés sans mise à jour. En attendant : désactivez MPTCP s'il est inutile, bloquez les paquets IPv4 porteurs d'options IP, limitez l'accès aux serveurs et planifiez le redémarrage.

Qu'est-ce que la faille CVE-2026-98432, et pourquoi concerne-t-elle votre entreprise ?

Selon la fiche CVE officielle, la faille survient à la fin d'une poignée de main TCP en IPv4 : le noyau transmet à la nouvelle connexion les options IP enregistrées avec la demande, sans les copier, alors qu'un autre processeur peut au même instant traiter une demande en double et construire une réponse à partir de ces options. Si le noyau libère la mémoire d'abord, il la relit ensuite après l'avoir libérée : c'est un use-after-free. Le défaut existe depuis la version 4.4 du noyau. L'équipe CVE du noyau l'a publié le 15 octobre 2026 et l'a noté 9,8 sur 10, car il est accessible par le réseau, pendant la poignée de main et avant toute connexion d'utilisateur, sans interaction.

Dans un article du 27 octobre, Anthropic indique que Claude a écrit un exploit permettant à un attaquant distant, sans identifiants, d'exécuter des commandes en root sur les serveurs Linux qui acceptent des connexions MPTCP, c'est-à-dire du TCP multichemin. Lors de son test, l'exploit a mis 48 minutes pour obtenir une adresse de la mémoire du noyau, puis 5 minutes pour exécuter des commandes. Plus grave, une tentative ratée ne fait pas planter le serveur : seule la connexion échoue, et l'attaquant peut réessayer sans que personne ne le remarque. Anthropic n'a pas publié l'exploit lui-même.

Red Hat décrit l'impact principal comme un plantage du serveur et un déni de service, avec une possible corruption de la mémoire. Dans la version du 30 octobre du catalogue CISA des vulnérabilités exploitées, la faille n'avait pas été ajoutée.

Votre distribution a-t-elle reçu une mise à jour ?

Voici l'état affiché par les pages officielles des distributions au 30 octobre 2026 :

Dans le noyau officiel, le correctif figure dans les versions 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 et 7.3. Mais la plupart des serveurs utilisent le noyau de leur distribution : c'est donc la page de votre distribution qui compte, pas le numéro de version officiel.

Comment savoir si un serveur est exposé ?

Lancez ces commandes sur chaque serveur Linux qui accepte des connexions depuis Internet :

uname -r
cat /proc/sys/net/mptcp/enabled
ss -Mln
cat /proc/sys/net/ipv4/tcp_migrate_req

• La première affiche la version du noyau : comparez-la à la page de votre distribution. Sur Ubuntu 24.04, par exemple, toutes les versions disponibles aujourd'hui sont sans correctif.
• La valeur 1 pour la deuxième signifie que MPTCP est activé, ce qui est le réglage par défaut selon la documentation du noyau.
• La troisième liste les services qui acceptent des connexions MPTCP. Tout service qui y figure est le type de cible exploité par Anthropic. Attention aux programmes Go : selon les notes de version de Go 1.24, leurs écoutes utilisent désormais MPTCP par défaut lorsqu'il est disponible.
• La quatrième doit afficher 0 : le second chemin de la faille ne fonctionne que si la valeur est 1, selon la fiche CVE.

La solution temporaire en attendant la mise à jour : 5 étapes

1. Si votre distribution a le correctif, installez-le maintenant et redémarrez. Sur Debian 12 et 13, par exemple :

   sudo apt update && sudo apt upgrade
   sudo reboot

   Le nouveau noyau ne vous protège pas tant que le serveur ne tourne pas dessus.
2. Désactivez MPTCP si aucun service n'en a besoin. Cela ferme le type de cible exploité par Anthropic :

   sudo sysctl -w net.mptcp.enabled=0
   echo "net.mptcp.enabled = 0" | sudo tee /etc/sysctl.d/99-disable-mptcp.conf

   La première commande applique le réglage immédiatement, la seconde le conserve après un redémarrage. Selon la documentation du noyau, ce réglage est propre à chaque espace de noms réseau : appliquez-le aussi dans les conteneurs. Les programmes Go reviennent automatiquement au TCP classique quand MPTCP n'est pas disponible. Mais ni Anthropic ni aucune distribution n'affirme que cela supprime la faille : c'est une réduction du risque, pas un remède.
3. Bloquez les paquets TCP porteurs d'options IPv4. Le scénario de notation de la fiche CVE suppose un attaquant qui envoie une demande de connexion portant l'option IPv4 Record Route ou Timestamp, et le trafic web, courriel et SSH ordinaire n'a pas besoin de ces options. Demandez à votre administrateur réseau une règle de pare-feu qui rejette les paquets TCP entrants dont l'en-tête IPv4 dépasse 20 octets, et testez-la d'abord sur un seul serveur. Aucune distribution n'affirme que cela bloque la faille, mais cela supprime la condition supposée par la notation.
4. Limitez qui peut joindre vos serveurs. La faille a besoin d'un port TCP ouvert qui accepte des connexions : fermez tous les ports inutiles, et ne rendez SSH et les panneaux d'administration accessibles que depuis des adresses IP précises ou via un VPN. Si le site est derrière un intermédiaire comme un CDN, faites en sorte que le serveur d'origine n'accepte que les adresses de ce service.
5. Préparez la mise à jour avant son arrivée. Suivez les pages d'Ubuntu et de Red Hat sur cette faille, approuvez à l'avance la mise à jour du noyau et fixez une fenêtre de redémarrage, pour installer le correctif le jour de sa sortie. Surveillez le journal du noyau à la recherche de plantages mentionnant ip_options_build :

   sudo journalctl -k | grep -i ip_options_build

   Un journal calme ne prouve rien pour autant, car une tentative ratée ne fait pas planter le serveur.

Et si vos serveurs sont chez un hébergeur ?

En hébergement mutualisé ou en service géré, le noyau appartient à l'hébergeur, pas à vous. Posez-lui trois questions : quelle distribution et quelle version du noyau tournent sur ses serveurs, quand il installera le correctif, et ce qu'il fait pour réduire le risque d'ici là. Un serveur privé virtuel (VPS) laisse en général le noyau entre vos mains : appliquez vous-même les étapes ci-dessus.

Le point de vue d'Origami

Comme dans notre article sur les failles PHP, quand la mise à jour officielle tarde, ce sont les mesures temporaires qui protègent les serveurs les premiers jours. Elles réduisent le risque sans le supprimer : le seul remède est le noyau corrigé après un redémarrage. Chez Origami, nous pouvons vérifier vos serveurs Linux, appliquer les mesures temporaires sans interrompre vos services et installer le correctif dès sa sortie. Contactez-nous.

L'essentiel

• CVE-2026-98432 est une faille du noyau Linux notée 9,8 sur 10 par l'équipe du noyau, exploitable à distance pendant la poignée de main TCP, avant toute connexion.
• Debian a publié le correctif ; Ubuntu et Red Hat ne l'avaient pas fait au 30 octobre 2026.
• En attendant : désactivez MPTCP s'il est inutile, bloquez les paquets TCP porteurs d'options IPv4 et fermez les ports inutilisés.
• Installez le noyau corrigé dès sa sortie et redémarrez : les mesures temporaires ne le remplacent pas.

Sources

• CVE.org : fiche CVE-2026-98432
• Ubuntu : état de CVE-2026-98432
• Red Hat : CVE-2026-98432
• Debian Security Tracker : CVE-2026-98432
• Anthropic : découvrir et exploiter des vulnérabilités avec Claude, 27 octobre 2026
• CISA : catalogue des vulnérabilités exploitées
• Documentation du noyau Linux : variables sysctl de MPTCP
• Notes de version de Go 1.24
• Go : ListenConfig.SetMultipathTCP