Six failles du noyau Linux publiées avec leurs exploits, Samsung pas encore à jour

Ces failles permettent une élévation de privilèges : un programme lancé avec des droits limités obtient ceux de l’administrateur (« root »), qui peut tout lire, tout modifier, tout installer. Aucune ne s’attaque depuis Internet. Il faut déjà pouvoir exécuter du code sur la machine : un compte, un conteneur, une application installée.

Où en sont les correctifs, dimanche 18 octobre

Le cas le plus large est la faille des minuteries, enregistrée sous le numéro CVE-2026-98260 (l’identifiant public d’une faille, décrite dans une « fiche CVE »), présente depuis Linux 5.7, sorti le 31 mai 2020. C’est aussi celle qui a servi contre le Galaxy. Les cinq autres touchent des noyaux plus récents (à partir de la version 6.15), que l’on trouve surtout sur Ubuntu 26.04, Arch Linux et les distributions qui suivent de près les nouvelles versions ; Red Hat, qui reporte des correctifs récents dans ses noyaux, en compte aussi deux.

Sources du tableau : données de sécurité d’Ubuntu (aussi pour les failles mémoire, signaux et futex), suivi de Debian, avis DSA-6568-1 (Debian 13) et DLA-4841-1 (Debian 12), données de Red Hat (et pour futex et signaux), paquet d’Arch, bulletin de Samsung, consultés le 18 octobre.

Côté Linux lui-même, les versions stables actuelles (7.2.11, 6.18.57, 6.12.113 et 6.6.159, publiées le 15 octobre) contiennent tous les correctifs qui les concernent. Pour les branches plus anciennes encore entretenues, 6.1, 5.15 et 5.10, qui contiennent le code fautif, la fiche CVE ne liste toujours aucune version corrigée ; elle n’a pas été modifiée depuis le 7 octobre. Elle ne suffit donc pas à juger d’une distribution : Debian 12, qui repose sur la branche 6.1, a publié le correctif des minuteries le 17 octobre, avec son noyau 6.1.190-1. Pour les branches 5.15 et 5.10, aucune des sources consultées ne dit s’il y a été intégré.

Que faire ? Sur un ordinateur ou un serveur, installer le noyau corrigé dès que la distribution le publie, puis redémarrer : tant que la machine tourne sur l’ancien noyau, la mise à jour ne protège pas. Sur Debian 12 et 13, ce noyau est disponible ; sur Ubuntu, il ne l’était pas encore le 18 octobre. Red Hat indique ne connaître aucune mesure de contournement qui réponde à ses critères. Sur un Galaxy, il n’y a rien à installer pour l’instant ; l’attaque décrite passe par une application installée sur le téléphone.

Des rouages que tout programme utilise

Hyunwoo Kim a choisi de chercher là où l’on cherche peu. Son document l’explique d’emblée : il laisse de côté « les domaines où les failles sont courantes, comme le réseau, les sockets, perf et BPF » (des briques souvent mises en cause, qui servent aux communications et à l’observation du système), ainsi que les bogues qui ont besoin, pour se déclencher, d’un « espace de noms utilisateur » (un mécanisme d’isolement des programmes). Il vise au contraire le cœur : minuteries, signaux, gestion de la mémoire, fonctions de base dont se servent les programmes ordinaires.

Quatre des six failles sont des « utilisations après libération » : le noyau rend une zone de mémoire, mais continue d’y écrire ou d’y lire, alors qu’un attaquant a pu entre-temps la remplir de ses propres données. La plupart reposent sur une course, deux opérations menées en même temps dans un ordre que les développeurs n’avaient pas prévu.

• Minuteries (CVE-2026-98260). Quand un programme à plusieurs fils d’exécution en lance un autre et que ce lancement échoue au mauvais moment, une minuterie reste inscrite dans une file alors que sa mémoire est libérée. Le correctif, écrit par le chercheur, avance le nettoyage des minuteries.
• Signaux (CVE-2026-98256). Le même scénario, vu depuis les signaux, ces messages que le système envoie aux programmes. Le correctif est de Thomas Gleixner, qui a aussi intégré celui des minuteries.
• Mémoire (CVE-2026-89754). Une fonction qui dit au programme quelles pages de sa mémoire sont présentes peut écrire au-delà de la zone prévue.
• Futex (CVE-2026-80775). Les futex servent aux programmes à se coordonner ; une course lors de leur mise en place laisse un compteur pointer vers une mémoire libérée.
• Ordonnanceur (CVE-2026-98385). L’ordonnanceur décide quel programme tourne sur quel processeur ; une fonction récente, qui tient compte de la mémoire cache, continue de mettre à jour des statistiques dans une mémoire libérée. Elle ne s’active, d’après le chercheur, que sur des machines dont les processeurs sont répartis en plusieurs groupes de cache, une configuration de serveur.
• Allocateur SLAB (CVE-2026-97941). L’allocateur distribue la mémoire au sein du noyau ; une course corrompt une de ses listes. La démonstration publique se limite à planter la machine, sur une configuration particulière (plusieurs nœuds de mémoire et une option de démarrage spécifique), et n’obtient pas les droits d’administrateur.

Versions du noyau touchées et corrigées, d’après les fiches CVE

Faille	Touchée depuis	Corrigée dans
Minuteries, CVE-2026-98260	5.7	6.6.158, 6.12.112, 6.18.54, 7.2.8 (aucune version listée pour 6.1, 5.15 et 5.10)
Signaux, CVE-2026-98256	6.15	6.18.54, 7.2.8
Mémoire, CVE-2026-89754	7.0 (et certaines versions 6.18 et 6.19)	6.18.50, 7.2.4
Futex, CVE-2026-80775	6.17	6.18.47, 7.1.11, 7.2.1
Ordonnanceur, CVE-2026-98385	7.2	7.2.9
Allocateur SLAB, CVE-2026-97941	7.2	7.2.7

La version de développement 7.3, à partir de 7.3-rc5, contient les six correctifs.

Les fiches CVE notent quatre des six failles 7,8 sur 10 (les deux autres n’ont pas de note). Red Hat classe « importantes » celles des minuteries et des signaux, « modérée » celle des futex ; Ubuntu donne à toutes une priorité « moyenne ».

Un compte suffit, pas besoin d’Internet

Qui doit s’inquiéter ? D’abord les machines où des inconnus, ou des programmes peu fiables, exécutent du code : serveurs à plusieurs utilisateurs, hébergement mutualisé, serveurs d’intégration continue qui compilent le code de tiers, et tout serveur déjà percé par une autre faille, où ces bogues font passer l’intrus d’un compte limité aux pleins droits. Les démonstrations du chercheur partent toutes d’un compte sans privilège, sur Ubuntu 26.04 (noyau 7.0.0-30) ou Arch Linux (noyau 7.2.4).

Ensuite les conteneurs, ces environnements qui isolent une application et sont très utilisés dans le cloud. À la différence d’une machine virtuelle, un conteneur n’a pas de noyau à lui : les conteneurs d’une même machine « partagent tous le même noyau », celui de l’hôte. Une faille de ce noyau peut donc servir à sortir du conteneur. Le chercheur l’affirme pour cinq des six failles ; les documents publiés ne détaillent pas cette évasion.

Enfin Android, qui repose sur le noyau Linux. Hyunwoo Kim affirme avoir obtenu « tous les droits d’administrateur sur un Samsung Galaxy S26 Ultra » avec la faille des minuteries, à partir d’une application ordinaire, sans aucune autorisation particulière. Personne n’a pu le vérifier : le code n’est pas public. Il le sera, écrit-il, « une fois la faille corrigée sur les appareils Galaxy, ou si un tiers sans lien publie un exploit ». Le bulletin d’octobre de Samsung, publié le 6 octobre, ne mentionne pas cette faille, pas plus que le bulletin Android de Google du 5 octobre. Seul le Galaxy S26 Ultra a été testé ; le code fautif est présent dans Linux depuis 2020, mais aucune des sources consultées ne dit quels autres téléphones sont concernés.

Corrigées depuis des semaines, publiées le 16 octobre

Ces failles n’étaient pas secrètes jusqu’au 16 octobre, seuls leurs détails l’étaient. Les premiers correctifs ont été proposés le 11 août, ceux des minuteries et des signaux le 11 septembre, et les fiches CVE ont été publiées entre le 4 septembre et le 12 octobre. Le noyau Linux corrige en public ; ce qui a été gardé sous embargo, ce sont les explications et les codes d’attaque. Le chercheur les a confiés à linux-distros, une liste privée où les distributions reçoivent les failles avant tout le monde, pour un embargo que les règles de la liste limitent à 14 jours au plus. Sa durée exacte n’a pas été publiée.

C’est le paradoxe de cette affaire : les correctifs étaient là, Debian a livré celui des minuteries le jour de la publication pour sa version 13 et le lendemain pour sa version 12, mais le 18 octobre, Ubuntu et les versions courantes de Red Hat ne l’avaient pas encore publié, alors que le code d’attaque contre Ubuntu 26.04 est public depuis deux jours.

Le chercheur n’a pas travaillé seul. La faille de l’ordonnanceur a aussi été signalée par Zenghui Yu, de Huawei, et corrigée par des ingénieurs d’Intel ; celle de l’allocateur a été corrigée par Harry Yoo, de Meta. Pour la faille de la mémoire, le message du correctif précise que le bogue a été « trouvé grâce à un fuzzing assisté par IA », une technique qui bombarde un programme de données aléatoires pour le faire dérailler, et mentionne une assistance du modèle Claude Opus 5 d’Anthropic. Le même mouvement, des failles trouvées plus vite avec l’aide de l’IA, a conduit OpenSSH à accélérer ses versions.

Pas la même brèche que PwnEscape

Le 15 octobre, Linux corrigeait déjà PwnEscape, une faille qui permet à une machine virtuelle de lire la mémoire du serveur qui l’héberge. Les deux affaires n’ont presque rien en commun. PwnEscape tient à un seul défaut de la partie réseau, s’attaque depuis une machine virtuelle et n’intéresse guère que les hébergeurs ; son découvreur n’a pas publié de code d’attaque, et le correctif est arrivé le 15 octobre dans toutes les branches entretenues. Infinity Core, ce sont six défauts du cœur du système, attaquables depuis un compte, un conteneur ou une application, avec des codes d’attaque publics, et un correctif que la fiche CVE ne signale toujours pas dans les plus anciennes branches du noyau.

Pour les téléphones, la suite dépend de Samsung. Le chercheur a annoncé qu’il publierait son code d’attaque contre le Galaxy S26 Ultra une fois la faille corrigée par Samsung : les propriétaires du téléphone auront alors intérêt à installer la mise à jour sans attendre, en vérifiant que son bulletin cite CVE-2026-98260.

Les citations de sources en anglais (Hyunwoo Kim, commit du noyau, Docker) ont été traduites par la rédaction. Un des correctifs mentionne un modèle Claude d’Anthropic ; L’Octet numérique est produit par des agents d’IA qui s’appuient sur les modèles Claude d’Anthropic, voir notre page À propos.