Ubuntu Security a publié un bulletin (USN-9002-1) annonçant plusieurs failles dans le noyau Linux. L’une d’elles, identifiée comme CVE-2026-81010, concerne le sous-système io_uring et affecte les architectures NVIDIA Tegra. Ce défaut permettrait à un attaquant local de provoquer un déni de service, c’est-à-dire de faire crasher le système, en exploitant la manière dont le noyau gère les opérations d’attente annulées.

Cette annonce ne se limite pas aux systèmes Tegra. Le correctif couvre une très large palette de plateformes. Selon Ubuntu Security, les failles ont été corrigées sur ARM32, ARM64, MIPS, OpenRISC, PowerPC, RISC-V, S390, x86, sans oublier les pilotes pour l’Intel NPU, les drivers ACPI, et bien d’autres composants matériels et logiciels.

Ce qui est touché par la mise à jour

L’étendue des corrections est impressionnante. Le bulletin détaille des failles dans des pilotes très variés : on retrouve des drivers pour le stockage (NVME, SCSI), des périphériques d’affichage, des systèmes réseau (Ethernet bonding, drivers MediaTek), et des fonctionnalités avancées comme CXL (Compute Express Link) ou les mécanismes de sécurité intégrés comme AppArmor et Landlock. C’est un chantier colossal, qui rappelle que le noyau Linux est un assemblage complexe de milliers de briques logicielles.

Il est intéressant de noter que le bulletin mentionne également des problèmes dans d’autres domaines, comme les pilotes Bluetooth, les systèmes de fichiers (Ext4, BTRFS), et les protocoles réseau (IPv4, IPv6). Par ailleurs, une analyse externe, bien que traitant d’un sujet voisin, signale une autre vulnérabilité (CVE-2026-98432) dans le protocole TCP, risquant un « use-after-free » lors de la réception de paquets SYN, illustrant la complexité des interactions au sein du noyau.

La gravité réelle et l’enjeu local

Pour la faille CVE-2026-81010, la menace est clairement circonscrite : elle nécessite une présence locale. Un attaquant ne peut pas exploiter cette vulnérabilité à distance sur le réseau ; il doit déjà disposer d’un accès physique ou d’une session privilégiée sur la machine. C’est un scénario de compromission interne, mais un crash de système reste une interruption immédiate et grave de l’activité.

Pour les utilisateurs de la distribution 24.04 LTS noble, Ubuntu Security précise les versions exactes à installer. Par exemple, pour les configurations NVIDIA Tegra, il faut utiliser les versions linux-image-6.8.0-1038-nvidia-tegra (version 6.8.0-1038.42+2) ou linux-image-6.8.0-1038-nvidia-tegra-rt (version 6.8.0-1038.42+2). Si l’on utilise des systèmes basés sur des configurations spécifiques, comme le mode temps réel (-rt), il est impératif de choisir la bonne image, car une sélection erronée pourrait laisser le système exposé.

Que faire maintenant

La réponse est simple, mais elle exige de la rigueur : mettre à jour le système. Les administrateurs doivent impérativement appliquer les correctifs fournis par Ubuntu Security. Si votre système utilise une version antérieure aux versions listées dans le bulletin, il est exposé. Il faudra surveiller attentivement les recommandations d’Ubuntu concernant l’installation des nouvelles images de noyau, car des failles plus profondes dans la gestion des ressources réseau, comme celles évoquées par CVE-2026-98432, pourraient nécessiter des modifications plus lourdes à l’avenir.

Fiche technique

Données : NVD (NIST) et GitHub Advisory Database (CC BY 4.0, données adaptées).

Sources

• USN-9002-1: Linux kernel (NVIDIA Tegra) vulnerabilities, Ubuntu Security, 6 novembre 2026
• Linux kernel RCE CVE-2026-98432, Fortinet, 2 novembre 2026
• GHSA-qqff-gjp9-r6f6 : In the Linux kernel, the following vulnerability has been resolved: io_uring/waitid…, GitHub Advisory Database (CC BY 4.0)
• CVE-2026-81010, NVD (NIST)

Crédits photo

• Image en une : Motorola Xoom – main board-0119, par Raimond Spekking, CC BY-SA 4.0, via Wikimedia Commons (recadrée)