Un défaut dans le code TCP du noyau Linux, identifié sous la référence CVE-2026-98432, vient de faire le tour des distributions majeures, y compris Ubuntu et Red Hat Enterprise Linux. Ce bug, qui se classe à un niveau de sévérité critique avec un score CVSS de 9,8, permet à un attaquant externe d’exécuter des commandes en tant que root sur le serveur, et ce, sans avoir besoin de crédentiels.

Le cœur du problème réside dans la manière dont le noyau gère le transfert de propriété des options TCP lors du traitement des requêtes SYN. Plus précisément, lorsque la fonction tcp_v4_syn_recv_sock() transfère les options de la requête vers le socket enfant, elle ne copie pas ces données. Si un autre processeur traite concurremment une SYN retransmise pour la même socket de requête, il y a un risque de conflit. Les analyses techniques pointent vers un problème de type « use-after-free » dans ip_options_build(), car inet_sock_destruct() libère inet_opt de manière classique (kfree()) alors que le contexte RCU (Read-Copy Update) ne garantit pas que tous les accès sont terminés.

L’impact des options TCP, y compris MPTCP

Cette vulnérabilité touche le mécanisme général de gestion des sockets, mais elle est particulièrement pertinente car elle intervient dans le contexte où des options TCP sont présentes. Il est intéressant de noter que le mécanisme de Multipath TCP (MPTCP), introduit en 2020, est un usage courant de ces options. MPTCP permet, par exemple, aux appareils mobiles de maintenir une connexion stable même lorsqu’ils changent de réseau, en divisant le trafic sur plusieurs adresses IP.

Les implémentations d’MPTCP, observées notamment sur iOS/iPadOS pour les connexions vers Apple, utilisent des options spécifiques comme MP_CAPABLE (subtype 0) et MP_JOIN (subtype 1). Pour détecter MPTCP, les outils comme Wireshark permettent de filtrer sur l’option TCP 30. Cependant, cette complexité des options, nécessaire à la résilience réseau moderne, est précisément le vecteur d’attaque ici.

La gravité réelle de l’exploitation

La capacité à exécuter des commandes root à distance, sans authentification, fait de cette faille un incident de très haute priorité. Anthropic a d’ailleurs mentionné qu’un modèle d’IA avait généré un exploit utilisant cette vulnérabilité, soulignant la rapidité avec laquelle des outils automatisés peuvent tirer parti de telles failles.

Le défaut n’est pas isolé au protocole MPTCP ; il est ancré dans la logique de gestion des sockets de requête (ireq_opt) dans le noyau. Un problème similaire existe aussi dans le scénario de migration de socket (net.ipv4.tcp_migrate_req=1), où le partage de ireq_opt entre l’ancien et le nouveau socket peut conduire à la même instabilité.

Que faire maintenant

La correction a été appliquée dans les versions plus récentes du noyau Linux. Les utilisateurs de distributions comme Ubuntu ou RHEL doivent impérativement mettre à jour leur système pour intégrer les correctifs. Les administrateurs peuvent surveiller l’utilisation des outils de détection d’options TCP, comme Zeek, qui peut être configuré pour loguer spécifiquement les paquets comportant l’option 30, permettant une traçabilité accrue des tentatives d’exploitation ou des usages MPTCP.

Il faudra rester attentif à la diffusion de cette faille ; si des systèmes n’ont pas encore appliqué les correctifs, la menace d’une prise de contrôle serveur par un simple paquet réseau reste bien réelle.

Fiche technique

Données : NVD (NIST) et GitHub Advisory Database (CC BY 4.0, données adaptées).

Sources

• Mutipath TCP: Use and Detection, (Mon, Nov 2nd), SANS ISC, 2 novembre 2026
• Linux Kernel TCP Flaw With 9.8 CVSS Score Affects Ubuntu, Red Hat and Other Distributions, The Hacker News, 29 octobre 2026
• GHSA-qp6h-4hvh-qqqc : In the Linux kernel, the following vulnerability has been resolved: ipv4: free inet_opt…, GitHub Advisory Database (CC BY 4.0)
• CVE-2026-98432, NVD (NIST)