Six signalements de vulnérabilités du noyau Linux attribués à la Zero Day Initiative (ZDI) ont paru sur la liste publique LKML les 21 et 22 octobre 2026, au lieu du canal privé de sécurité, selon Phoronix et ADSLZone. Les deux publications ont décrit cette diffusion comme accidentelle. Les impacts mentionnés sont potentiels.
Six signalements publiés sur deux jours
Le signalement ZDI-CAN-32005 a été publié le 21 octobre, un jour avant les cinq autres, parus le 22 octobre. Phoronix a également rapporté que Greg Kroah-Hartman, mainteneur du noyau Linux, avait questionné l’envoi des rapports sur la liste publique.
Les vulnérabilités décrites
Phoronix a détaillé les composants et les problèmes associés aux six identifiants. Les signalements ZDI-CAN-33549 et ZDI-CAN-33774 étaient notés CVSS 9,0. CVSS est un système de notation de la gravité des vulnérabilités.
| Identifiant ZDI | Composant ou problème décrit | Impact potentiel rapporté |
| ZDI-CAN-33549 | SMB Direct, sous-débordement d’entier | Exécution de code à distance |
| ZDI-CAN-33774 | KSMBD, condition de concurrence | Exécution de code à distance |
| ZDI-CAN-33367 | Réseau, problème skbuff skb_zerocopy | Élévation locale de privilèges |
| ZDI-CAN-34068 | Pilote graphique VMware VMWGFX, écriture hors limites | Élévation locale de privilèges |
| ZDI-CAN-34076 | Code NVMET, ressource non initialisée | Divulgation d’informations |
| ZDI-CAN-32005 | Dépassement de tampon dans une requête TCP portant sur un domaine de recherche | Élévation locale de privilèges |
Une élévation de privilèges permet à un utilisateur ou à un processus d’obtenir des droits supérieurs à ceux qui lui sont normalement accordés. Les deux risques d’exécution de code à distance concernaient SMB Direct et KSMBD.
L’état des correctifs rapporté le 22 octobre
Dans son article du 22 octobre 2026, Phoronix indiquait qu’aucun correctif n’avait encore rejoint la branche principale du noyau Linux, appelée mainline. Certains correctifs étaient en test ou en attente dans des branches de développement « -next ». Pour ZDI-CAN-33549, l’article mentionnait aussi un correctif dans une branche Git destinée à Linux v7.5.
La directive du noyau Linux sur les découvertes assistées par l’IA
La documentation officielle du noyau Linux sur les failles de sécurité indique que les découvertes réalisées avec l’aide de l’IA doivent être traitées comme publiques. Elle recommande de ne pas publier de preuve de concept et de signaler l’issue en privé en cas de doute sur son caractère public. Cette directive générale ne relie pas l’IA aux signalements de la ZDI.
Pour les découvertes assistées par l’IA, la documentation recommande donc un signalement privé si leur divulgation publique paraît incertaine.
