Le noyau Linux frappé par une deuxième faille critique en deux semaines : les correctifs en production se déploient
Les administrateurs Linux ont été remis en mouvement par une seconde vulnérabilité critique du noyau en l'espace de deux semaines. Selon Ars Technica, les correctifs pour les versions de production se déploient désormais et les administrateurs système appellent à les installer rapidement.
La nouvelle vulnérabilité est référencée CVE-2026-3471 et permet l'exécution de code à distance au niveau de la pile TCP. Un attaquant peut obtenir un accès root sur le système cible. Elle est qualifiée comme l'une des failles noyau les plus critiques de la dernière décennie. Son score CVSSv3 atteint 9,8/10.
Elle fait suite à la CVE-2026-3201, enregistrée il y a deux semaines, qui permettait une élévation locale de privilèges via un détournement de kgss. Les deux failles sont indépendantes et apparaissent dans des modules différents : la première dans le système de fichiers, la seconde dans la pile réseau.
Selon les sources, la CVE-2026-3471 a été signalée en privé aux mainteneurs du noyau Linux il y a trois semaines. Le chercheur à l'origine du signalement est Mateusz Jurczyk de Google Project Zero. La fusion des correctifs dans les principales branches s'est achevée cette semaine et les versions canoniques (6.14.5, 6.16.2, 6.17.1) ont été publiées.
Les versions concernées incluent tout ce qui suit le 5.10 LTS. Cela couvre RHEL 9, Ubuntu 22.04 LTS, Debian 12 et d'autres grandes distributions. Red Hat a annoncé des correctifs sur l'ensemble de sa famille de produits ; Canonical (Ubuntu) et les équipes de sécurité Debian ont déployé les paquets dans leurs dépôts.
Le principal mainteneur du noyau Linux, Greg Kroah-Hartman, a écrit sur la liste de diffusion du noyau : « Voir deux vulnérabilités graves coup sur coup est inhabituel ; nous allons creuser. » Cela pourrait relancer un débat dans la communauté de développement du noyau sur la manière dont les vulnérabilités sont trouvées et signalées.
En début d'année, la Linux Foundation avait lancé un programme de recherche en sécurité baptisé Lockdown Project, destiné à détecter plus vite les vulnérabilités. Le programme passera à l'échelle à l'automne 2026 avec 8 millions de dollars de financement supplémentaire. Google et AWS comptent parmi les principaux soutiens.
La chercheuse en sécurité Maddie Stone déclare à la BBC : « Le noyau Linux a vu doubler son nombre de CVE en quatre ans. Ce n'est pas forcément une mauvaise nouvelle ; cela signifie que davantage de chercheurs examinent le code du noyau. Mais le passage à une distribution automatisée des correctifs devient désormais incontournable. »
Les principaux fournisseurs cloud ont publié des mises à jour de politique pour s'assurer que les machines de leurs clients sont automatiquement corrigées. AWS recommande aux clients EC2 de planifier un redémarrage dans les 24 heures. Google Cloud rappelle que son correcteur automatique est activé par défaut. Microsoft Azure a planifié des fenêtres de maintenance pour le week-end.
Le noyau Linux fait tourner l'écrasante majorité des serveurs du monde : selon les données de Gartner, l'infrastructure Internet repose à environ 96 % sur Linux. Les vulnérabilités du noyau affectent donc directement les services cloud et des millions d'appareils grand public, y compris les téléphones Android. Le déploiement des correctifs est en cours ; les équipes de suivi indiquent qu'aucune exploitation massive de la faille n'est, à ce stade, observée.