Le 2 novembre, Marcus Hutchins a signalé des activités qu’il soupçonnait d’être des balayages MPTCP liés à CVE-2026-98432, une faille du noyau Linux dans le traitement des connexions IPv4/TCP. Ces observations ne constituent pas une exploitation confirmée. Pour corriger la faille, installez le noyau corrigé fourni par votre distribution, redémarrez la machine et vérifiez la version qui fonctionne réellement.

Ce que les balayages MPTCP indiquent

Selon Aikido, un scan attribué à Hutchins le 30 octobre a repéré environ 2,1 millions de serveurs joignables par MPTCP sur le port 443. Ce chiffre concerne leur accessibilité sur ce port ; il ne dénombre pas les systèmes compromis.

La faille est un use-after-free, c’est-à-dire un accès à une zone mémoire après sa libération, pendant l’établissement d’une connexion IPv4/TCP. Aikido situe son apparition à partir du noyau Linux 4.4 et indique qu’un attaquant doit pouvoir atteindre un port TCP en écoute.

MPTCP ne définit pas toute la faille

La démonstration d’exploitation attribuée à Anthropic utilisait un service en écoute MPTCP, une variante de TCP qui peut répartir une connexion entre plusieurs chemins réseau. Mais, selon Aikido, Red Hat estime que MPTCP n’est pas nécessaire pour exploiter le défaut sous-jacent. Désactiver MPTCP peut donc réduire l’exposition, mais ne corrige pas le noyau.

D’autres mesures temporaires peuvent filtrer les paquets IPv4/TCP contenant des options IP ou terminer les connexions TCP sur un répartiteur de charge séparé. Un proxy installé sur le même hôte ne protège pas le noyau de cet hôte : celui-ci traite toujours la négociation TCP. NeoTeo a déjà détaillé la portée limitée du filtrage de Red Hat et les paquets Amazon Linux dans son précédent article sur CVE-2026-98432.

Vérifier que le noyau corrigé est actif

Installez le paquet corrigé de votre distribution, puis redémarrez le système. La commande uname -r affiche le noyau en cours d’exécution ; comparez cette version à celle indiquée par le fournisseur pour votre branche. Les distributions rétroportent parfois les correctifs, si bien que leurs numéros de paquet peuvent différer des versions stables amont.

Pour les conteneurs, le noyau pertinent est celui du nœud qui les héberge. Mettre à jour l’image d’une application ne met pas à jour le noyau de cette machine.

L’affirmation sur les délais Debian et Ubuntu

Le présentateur de Linux Renaissance affirme que Debian a corrigé CVE-2026-98432 en 24 heures et que les mises à jour ordinaires d’Ubuntu LTS ont tardé. Cette comparaison porte sur son récit de cet épisode précis.