# Un chercheur publie des exploits publics pour quatre failles du noyau Linux menant à un accès root local

> DirtyAH6, TUNderflow, PPPoEject et DiagSpill touchent des composants réseau du noyau, corrigés dans les dernières versions stables

- Source : KLYNLABS (https://klynlabs.eu)
- URL : https://klynlabs.eu/articles/exploits-publics-quatre-failles-noyau-linux-acces-root
- Auteur : Kelvyn
- Publié le : 19 septembre 2026 (2026-09-19T04:44:53.319Z)
- Rubrique : Cybersécurité
- Sujets : Cybersécurité, CVE, Linux, Noyau Linux, Faille de sécurité
- Langue : français

Le chercheur en sécurité **Asim Manizada** a publié le 18 septembre 2026 des exploits fonctionnels pour quatre vulnérabilités distinctes du noyau Linux, chacune permettant, sous certaines conditions, d'obtenir un accès administrateur (root) local sur un système affecté. Les exploits sont calibrés pour des versions précises du noyau et peuvent, dans certains cas, provoquer un plantage du système ciblé.

## Quelles sont les quatre failles concernées ?

La première, baptisée **DirtyAH6** (CVE-2026-80844), touche la gestion du protocole IPsec AH6 en IPv6 et nécessite l'accès à des espaces de noms utilisateur non privilégiés (unprivileged user namespaces) pour être exploitée localement ; elle peut aussi provoquer un plantage à distance, mais uniquement si l'hôte route du trafic IPv6 et ajoute un en-tête d'authentification en mode transport.

La deuxième, **TUNderflow** (CVE-2026-81000), affecte les périphériques réseau virtuels TUN/TAP et requiert également des espaces de noms utilisateur non privilégiés, sans possibilité de déclenchement à distance. La troisième, **PPPoEject** (CVE-2026-68121), touche le protocole PPPoE dans les mêmes conditions d'accès. La quatrième, **DiagSpill** (CVE-2026-74469), concerne le sous-système de diagnostic SCTP (sctp_diag) et ne nécessite, elle, aucun prérequis particulier ; elle peut provoquer un plantage à distance, mais uniquement lorsque des options SCTP non standard sont activées sur le système ciblé.

> Un accès root local signifie que l'attaquant doit déjà disposer d'un accès de base au système (un compte utilisateur non privilégié, par exemple) pour exploiter la faille et obtenir les pleins droits d'administration. Ce n'est donc pas, dans la plupart des cas, une porte d'entrée directe depuis Internet, à l'exception des scénarios de plantage à distance mentionnés pour DirtyAH6 et DiagSpill, qui restent limités à un déni de service et non à une prise de contrôle.

## Ces failles sont-elles exploitées activement ?

Aucune attaque réelle exploitant ces quatre vulnérabilités n'a été rapportée à ce jour. La publication d'exploits fonctionnels, même à visée pédagogique ou pour évaluer la robustesse de systèmes, augmente néanmoins mécaniquement le risque qu'un acteur malveillant les adapte pour ses propres besoins, en particulier sur des systèmes non mis à jour.

Les quatre failles sont corrigées à partir des versions suivantes du noyau Linux : 5.10.270, 5.15.221, 6.1.188, 6.6.157, 6.12.109, 6.18.50 et 7.2.4. Les administrateurs système sont invités à vérifier que leurs distributions ont bien intégré ces correctifs, en particulier sur les serveurs exposant des services réseau utilisant IPsec, PPPoE, des interfaces TUN/TAP ou le protocole SCTP.

## À retenir

- Le chercheur Asim Manizada a publié le 18 septembre 2026 des exploits fonctionnels pour quatre failles du noyau Linux : DirtyAH6, TUNderflow, PPPoEject et DiagSpill.
- Ces failles permettent, sous conditions d'accès variables, d'obtenir un accès root local ; aucune exploitation active dans la nature n'a été recensée à ce jour.
- Les correctifs sont disponibles depuis les versions 5.10.270, 5.15.221, 6.1.188, 6.6.157, 6.12.109, 6.18.50 et 7.2.4 du noyau Linux.

## Source

D'après l'article de [The Hacker News](https://thehackernews.com/2026/09/public-exploits-released-for-four-linux.html).

---

Article publié par KLYNLABS, signé Kelvyn. À citer avec son lien : https://klynlabs.eu/articles/exploits-publics-quatre-failles-noyau-linux-acces-root