Les versions xorg-server 21.1.26 et xwayland 24.1.15 contiennent des correctifs pour huit vulnérabilités découvertes dans le serveur X.Org et Xwayland. Ces failles affectent les systèmes Linux et Unix qui utilisent cette couche d’affichage de bas niveau. Les correctifs s’appliquent à toutes les versions antérieures à ces deux sorties.

Le serveur X fournit l’interface graphique de base sur de nombreux systèmes. Xwayland, quant à lui, permet aux applications X11 de tourner sur des bureaux basés sur Wayland, le protocole d’affichage plus récent. Ainsi, les utilisateurs de Wayland qui lancent des applications X11 sont aussi exposés à ces failles.

Les failles permettent des comportements dangereux : le serveur peut planter, sa mémoire peut être corrompue, ou pire, permettre des lectures ou des écritures en dehors des zones mémoire prévues. Une fuite de contenu mémoire est également possible.

Le rôle du matériel dans ces failles

Une des vulnérabilités, CVE-2026-109091, est liée à un moniteur malveillant. Elle se trouve dans le code qui lit l’EDID, le bloc de données que l’écran envoie pour décrire ses résolutions et fréquences. Si un attaquant utilise un moniteur truqué ou un EDID modifié, le serveur copie les entrées de plage d’affichage dans des tableaux de taille fixe sans vérifier si le nombre d’entrées dépasse la limite. Ce débordement peut provoquer le crash du serveur ou la corruption de la mémoire.

Les sept autres failles concernent le code qui gère les requêtes du protocole X, c’est-à-dire les messages envoyés par les applications au serveur. Les problèmes sont variés, impliquant des vérifications de taille ou des erreurs d’entiers.

Les mécanismes d’erreurs dans le traitement des données

Quatre des sept failles se situent dans Xv, l’extension utilisée pour transmettre des trames vidéo. Par exemple, dans CVE-2026-109092, un décalage calculé à partir d’un nombre négatif dans le code matériel du serveur permet de contourner la vérification des limites d’un segment de mémoire partagée, autorisant lecture ou écriture hors de ce segment. D’autres failles impliquent des calculs de taille d’images qui, en utilisant des entiers surdébordants, font que le serveur lit au-delà des données envoyées par le client.

On trouve aussi une écriture hors limites dans la pile (stack write) dans XTest, l’extension qui permet aux clients d’injecter de faux événements clavier ou souris. Le serveur copie les valeurs d’entrée dans un tableau de pile de taille fixe sans validation adéquate. Enfin, deux failles dans l’extension X-Resource présentent des débordements d’entiers qui peuvent amener le serveur à parcourir au-delà du tampon de la requête.

X.Org n’a pas publié de notes de criticité ou de scores CVSS pour ces huit failles, et n’a pas précisé si elles pouvaient mener à une exécution de code. Les administrateurs doivent donc évaluer le danger. Cependant, les trois failles permettant une écriture hors limites (CVE-2026-109091, -109092 et -109093) sont celles qui méritent une attention prioritaire.

Que faire maintenant

Si vous gérez des systèmes basés sur X.Org, il faut agir. Les distributions logicielles intègrent généralement ces correctifs dans leurs propres versions de paquets. Il est donc indispensable de consulter les avis de sécurité de votre distribution en cherchant ces numéros CVE. Ceux qui avaient appliqué la mise à jour précédente en octobre, qui corrigeait douze failles, doivent maintenant installer ce correctif additionnel. Il est à noter que l’assistance des modèles d’IA semble avoir accéléré la divulgation de ces huit problèmes supplémentaires.

Sources

• X.Org patches eight server vulnerabilities a month after fixing 12 others, Help Net Security, 10 novembre 2026
• Eight More Security Issues Made Public For The X.Org Server / XWayland, Phoronix, 10 novembre 2026