Un chercheur publie des exploits publics pour quatre failles du noyau Linux menant à un accès root local

Le chercheur en sécurité Asim Manizada a publié le 18 septembre 2026 des exploits fonctionnels pour quatre vulnérabilités distinctes du noyau Linux, chacune permettant, sous certaines conditions, d'obtenir un accès administrateur (root) local sur un système affecté. Les exploits sont calibrés pour des versions précises du noyau et peuvent, dans certains cas, provoquer un plantage du système ciblé.

Quelles sont les quatre failles concernées ?

La première, baptisée DirtyAH6 (CVE-2026-80844), touche la gestion du protocole IPsec AH6 en IPv6 et nécessite l'accès à des espaces de noms utilisateur non privilégiés (unprivileged user namespaces) pour être exploitée localement ; elle peut aussi provoquer un plantage à distance, mais uniquement si l'hôte route du trafic IPv6 et ajoute un en-tête d'authentification en mode transport.

La deuxième, TUNderflow (CVE-2026-81000), affecte les périphériques réseau virtuels TUN/TAP et requiert également des espaces de noms utilisateur non privilégiés, sans possibilité de déclenchement à distance. La troisième, PPPoEject (CVE-2026-68121), touche le protocole PPPoE dans les mêmes conditions d'accès. La quatrième, DiagSpill (CVE-2026-74469), concerne le sous-système de diagnostic SCTP (sctp_diag) et ne nécessite, elle, aucun prérequis particulier ; elle peut provoquer un plantage à distance, mais uniquement lorsque des options SCTP non standard sont activées sur le système ciblé.

Ces failles sont-elles exploitées activement ?

Aucune attaque réelle exploitant ces quatre vulnérabilités n'a été rapportée à ce jour. La publication d'exploits fonctionnels, même à visée pédagogique ou pour évaluer la robustesse de systèmes, augmente néanmoins mécaniquement le risque qu'un acteur malveillant les adapte pour ses propres besoins, en particulier sur des systèmes non mis à jour.

Les quatre failles sont corrigées à partir des versions suivantes du noyau Linux : 5.10.270, 5.15.221, 6.1.188, 6.6.157, 6.12.109, 6.18.50 et 7.2.4. Les administrateurs système sont invités à vérifier que leurs distributions ont bien intégré ces correctifs, en particulier sur les serveurs exposant des services réseau utilisant IPsec, PPPoE, des interfaces TUN/TAP ou le protocole SCTP.

Source

D'après l'article de The Hacker News.