Au 5 novembre 2026, le tracker de sécurité Ubuntu affichait l’état « Vulnérable, travaux en cours » pour les noyaux génériques d’Ubuntu 22.04, 24.04, 26.04 et 26.10. Le 2 novembre, Canonical avait annoncé des correctifs dans le canal de test facultatif -proposed pour les trois premières versions. Ces paquets ne sont pas des mises à jour ordinaires installées automatiquement.
Des sondes MPTCP signalées, sans indication d’intrusion réussie
Le chercheur Marcus Hutchins a signalé le 3 novembre une activité qui semblait sonder des systèmes exposés via MPTCP sur le port 443. Selon son signalement, ces sondes auraient commencé le 2 novembre. Il s’agit d’une activité de balayage apparente, pas d’un compte rendu d’intrusions réussies.
Ce qu’indique le tracker Ubuntu
Le tracker de sécurité Ubuntu pour CVE-2026-98432 détaille les cibles des paquets génériques linux. Les numéros ci-dessous ne s’appliquent pas automatiquement aux noyaux cloud ou spécialisés, qui ont leurs propres entrées.
| Version Ubuntu | Cible du noyau générique linux | État au 5 novembre 2026 |
| 22.04 | 5.15.0-203.213 | Vulnérable, travaux en cours |
| 24.04 | 6.8.0-149.149 | Vulnérable, travaux en cours |
| 26.04 | 7.0.0-43.43 | Vulnérable, travaux en cours |
| 26.10 | 7.3.0-10.10 | Vulnérable, travaux en cours |
L’annonce de Canonical concerne -proposed, un canal de test auquel il faut choisir de recourir. Elle porte sur Ubuntu 22.04, 24.04 et 26.04 ; le tracker, lui, donne l’état daté des paquets par version. Les noyaux linux-aws, linux-gcp, linux-azure, HWE et FIPS figurent dans des entrées distinctes : une cible du paquet générique ne suffit donc pas à déterminer l’état d’une autre variante.
La faille IPv4 ne se limite pas à MPTCP
CVE-2026-98432 est une vulnérabilité de type « use-after-free » dans le traitement des connexions TCP IPv4 du noyau Linux : le noyau peut accéder à la mémoire d’options IP après sa libération. Le tracker Ubuntu lui attribue un score CVSS 3.1 de 9,8, niveau critique.
Anthropic a rapporté qu’un modèle de recherche Claude interne, non nommé, avait produit en laboratoire un exploit donnant un accès root sur un serveur Linux doté d’un écouteur MPTCP. Cette configuration décrit la démonstration rapportée ; le défaut sous-jacent concerne TCP IPv4 et ne se limite pas à MPTCP. Anthropic décrit cette démonstration de laboratoire.
Désactiver MPTCP peut retirer la configuration utilisée dans cette démonstration, mais ne corrige pas la faille TCP IPv4. Les services qui ont déjà des écouteurs MPTCP doivent être redémarrés après un changement de réglage. Le tracker Ubuntu décrit aussi un filtrage des paquets TCP IPv4 avec options IP comme mesure de réduction du risque ; ce filtrage peut interrompre le trafic qui dépend de ces options.
Vérifier le noyau réellement actif
uname -r affiche la version du noyau en cours d’exécution. Il faut la comparer à l’entrée correspondant à la version Ubuntu et à la variante installée : les numéros du tableau concernent uniquement le paquet générique linux. Un paquet installé ne devient le noyau actif qu’après le démarrage sur cette version.
Pour repérer les écouteurs MPTCP dans l’espace de noms consulté, la commande sudo ss -Mlnp les liste. La vidéo en anglais de linuxhint montre des vérifications de noyau et de configuration dans un terminal ; ses indications sur les correctifs reflètent la situation de fin octobre 2026.
