Faille Linux CVE-2026-98432 : Anthropic montre une prise de contrôle, pas une attaque en cours

Le 30 octobre 2026, BleepingComputer a rapporté qu'une équipe d'Anthropic a fait exécuter des commandes à distance, avec les droits root, sur un serveur Linux exposant un service Multipath TCP, en exploitant la faille CVE-2026-98432. L'équipe du noyau lui attribue une note de 9,8 sur 10. Red Hat la classe plutôt comme un déni de service difficile à déclencher, à 5,9. Aucune exploitation dans la nature n'était confirmée à cette date.

CVE-2026-98432 est un use-after-free dans le code TCP IPv4 du noyau, présent depuis la version 4.4 selon BleepingComputer. L'avis du noyau, cité par le média, explique qu'une option IP attachée à une demande de connexion peut être lue par un processeur pendant qu'un autre la transmet à la socket fille, sans copie. Le même genre de course peut survenir quand la migration des requêtes TCP est activée. Déclencher la course ne demande pas de compte sur la machine. En tirer une exécution de code est une autre affaire : Red Hat juge l'exploitation plus complexe qu'un simple paquet malformé.

Qui est concerné par CVE-2026-98432 ?

Les serveurs Linux dont le noyau n'a pas encore le correctif, en particulier s'ils écoutent en Multipath TCP. Ce mode, qui fait passer une même connexion par plusieurs chemins réseau, n'est pas activé par défaut dans la plupart des applications. Depuis Go 1.24, le langage l'active toutefois tout seul pour les écouteurs TCP sur Linux quand le noyau le permet. Un service écrit en Go peut donc l'exposer sans que l'administrateur l'ait demandé.

Anthropic dit qu'un modèle Claude non publié a construit un exploit capable de contourner le placement aléatoire de la mémoire du noyau et d'exécuter des commandes root. Le temps annoncé pour y arriver est d'environ 53 minutes, sur un serveur qui écoutait en Multipath TCP. BleepingComputer précise que l'exécution de code à distance n'a pas été montrée publiquement sur un serveur sans cet écouteur. Le défaut, lui, peut quand même être déclenché par du TCP ordinaire : couper Multipath TCP ne suffit pas, selon le prestataire CIQ, qui suit Rocky Linux.

Où le correctif est-il déjà disponible ?

Debian a corrigé le paquet noyau en 6.1.190-1 pour Debian 12 et en 6.12.113-1 pour Debian 13, selon son suivi de sécurité rapporté par BleepingComputer. Ubuntu 22.04 LTS, 24.04 LTS, 26.04 LTS et 26.10 restaient vulnérables le 30 octobre, correctifs en cours. Red Hat liste Red Hat Enterprise Linux 8, 9 et 10 comme affectés, avec des correctifs prévus ; Red Hat Enterprise Linux 7 ne l'est pas, son noyau ne contient pas le code fautif. Rocky Linux 8, 9 et 10 sont aussi concernés. Oracle Linux, Amazon Linux et SUSE avaient publié des correctifs pour certaines versions. macOS, qui n'utilise pas le noyau Linux, n'est pas touché.

La note de 9,8 et celle de 5,9 ne se contredisent pas si l'on dit ce qu'elles mesurent. La première, côté équipe CVE du noyau, retient l'absence d'authentification et l'impact maximal une fois la course gagnée. La seconde, chez Red Hat, retient la difficulté à gagner cette course et parle d'abord d'un plantage du noyau. La démonstration d'Anthropic montre que l'exécution root est possible dans un cas précis, Multipath TCP, avec un modèle qui n'est pas entre les mains du public. Ce n'est pas un exploit téléchargeable décrit dans l'article, et ce n'est pas une campagne observée.

D'autres failles du noyau ont déjà eu des exploits publics menant à root. CVE-2026-98432 est un avis distinct : le correctif à installer est celui de sa distribution, pas celui de ces quatre failles-là. En attendant le paquet, limiter l'accès réseau aux adresses de confiance réduit la surface. Les exemples de pare-feu cités par CIQ visent les paquets TCP IPv4 qui portent des options IP ; les recopier sans le bulletin de sa distribution est un bon moyen de couper du trafic légitime.

Source

Article de Lawrence Abrams sur BleepingComputer, publié le 30 octobre 2026 et lu intégralement. Les notes, les versions de distribution et la démonstration d'Anthropic sont celles rapportées par ce média.