Trois vulnérabilités du noyau Linux sont désormais exploitées dans des attaques réelles. Parmi elles, une faille vieille de près de quinze ans capable de conduire à une élévation de privilèges et à une sortie de conteneur.
Elle sommeillait dans le noyau Linux depuis près d’une quinzaine d’années, et voici qu'elle fait aujourd’hui le bonheur des attaquants. La CISA vient en effet de confirmer l’exploitation d'une vulnérabilité dans des attaques réelles, aux côtés de deux autres failles affectant Linux. L’agence américaine ne donne aucun détail sur les victimes ni sur les groupes impliqués, mais appelle à appliquer les correctifs disponibles sans délai et à rechercher d’éventuelles traces de compromission.
La solution tout-en-un pour protéger votre entreprise
Votre petite entreprise a de grandes ambitions. Protégez-là contre les pirates. Et développez sereinement votre activité !
Une (très) ancienne faille plus dangereuse que prévu
Dans le détail, CVE-2025-39964 (CVSS 7,8) touche l’interface cryptographique AF_ALG du noyau Linux, qui permet aux applications d’accéder aux fonctions de chiffrement implémentées directement dans le noyau.
Divulguée en 2025, la vulnérabilité trouve son origine dans du code remontant à Linux 2.6.38, publié en 2011, et résulte d’une condition de concurrence : lorsque plusieurs écritures ont lieu simultanément sur une même socket (canal de communication entre l’application et le noyau), elles peuvent interférer entre elles et en corrompre l’état interne, jusqu’à provoquer un plantage ou altérer le résultat d’opérations cryptographiques.
Les chercheurs de STAR Labs ont toutefois montré qu’il était possible d’en tirer bien davantage. Dans le cadre du kernelCTF, le programme de Google consacré à l’exploitation de vulnérabilités du noyau Linux, ils sont parvenus à obtenir une élévation locale de privilèges et à s’échapper d’un conteneur.
En pratique, un attaquant disposant déjà d’un accès limité pourrait ainsi gagner des droits élevés sur la machine et, dans un environnement conteneurisé, franchir l’isolation censée séparer l’application du système hôte, puis potentiellement accéder aux fichiers, secrets et autres ressources sensibles du PC ou du serveur compromis.
Deux autres failles, dont une critique et exploitable à distance
Les deux autres vulnérabilités sont plus récentes, mais pas moins préoccupantes. CVE-2026-53266 (CVSS 8,8) affecte ebtables, un composant utilisé par Linux pour gérer le trafic qui circule entre plusieurs interfaces réseau. Dans certaines configurations, la modification d’un paquet ARP (protocole qui associe adresse IP et adresse matérielle sur un réseau local) peut pousser le noyau à écrire dans une zone de mémoire qu’il ne devrait pas toucher. Un attaquant disposant déjà d’un accès limité pourrait alors provoquer un plantage, modifier des données ou tenter d’obtenir davantage de privilèges sur le système.
Dans les trois cas, l’exploitation ne relève plus de la théorie : des attaquants ont déjà tiré parti de ces vulnérabilités, ce qui impose d’appliquer les patchs disponibles sans délai. Leur installation ne permettra toutefois pas de savoir si une machine a déjà été compromise ; il faudra donc également examiner les systèmes concernés à la recherche de traces d’exploitation et vérifier qu’aucun attaquant n’a profité des failles avant leur correction.
