Dans son suivi de CVE-2026-99999, mis à jour pour la dernière fois le 4 novembre 2026, Canonical classait cinq entrées de paquets Ubuntu comme « Vulnerable, work in progress » (« vulnérable, travaux en cours »). Quatre concernent le paquet standard linux; la cinquième correspond à linux-kvm sur Ubuntu 22.04. Le suivi officiel de Canonical détaille les versions visées.
Les builds cibles selon la version et le paquet
Pour le paquet standard linux, Canonical indiquait comme builds cibles 5.15.0-203.213 pour Ubuntu 22.04 LTS, 6.8.0-149.149 pour Ubuntu 24.04 LTS, 7.0.0-43.43 pour Ubuntu 26.04 LTS et 7.3.0-10.10 pour Ubuntu 26.10. La ligne distincte linux-kvm d’Ubuntu 22.04 LTS visait le build 5.15.0-1112.117.
Canonical suit séparément les variantes cloud, HWE, FIPS et d’autres noyaux. La ligne pertinente dépend donc de la version d’Ubuntu et de la variante du noyau de l’hôte. PwnEscape touche le traitement IPv4 du noyau hôte; mettre à jour le système invité d’une machine virtuelle ne met pas à jour ce noyau. Pour le contexte technique, retrouvez notre précédent article sur le mécanisme de PwnEscape et le correctif amont.
Ce que signifie le build cible
Un build cible désigne la version associée au travail de correction. Dans le suivi du 4 novembre, les cinq lignes concernées portaient toujours le statut « Vulnerable, work in progress » : Canonical ne les indiquait pas comme corrigées. Le build cible ne signifie donc pas, à lui seul, qu’un paquet corrigé a été publié ou que l’hôte a démarré dessus.
Pourquoi les niveaux de gravité diffèrent
Canonical attribuait à Ubuntu une priorité Medium. Le suivi affichait aussi un score CVSS 3.1 de 9,3, classé Critical, et un score CVSS 4.0 de 6,9, classé Medium. La priorité Ubuntu est un champ distinct; les deux scores relèvent de versions différentes de CVSS.
