Wasmtime : deux failles critiques (CVSS 9.9) permettent de sortir du bac à sable

Deux failles critiques du runtime WebAssembly Wasmtime, référencées CVE-2026-115889 et CVE-2026-115893 et notées 9.9 sur 10 sur l'échelle CVSS, permettent à un module WebAssembly malveillant de sortir de son bac à sable, selon les avis de sécurité publiés le 19 octobre 2026 et détaillés par The Hacker News.

Qui est concerné par les failles de Wasmtime ?

Les deux bogues se trouvent dans Cranelift, le compilateur qui produit par défaut le code machine de Wasmtime. Le risque est maximal pour les services qui compilent des modules écrits par des tiers : l'article cite Fastly, qui utilise Wasmtime pour sa plateforme Compute exécutant du code client. Les avis ne nomment aucun service affecté et ne disent pas ce qu'un attaquant atteindrait après son évasion.

Comment fonctionnent les deux vulnérabilités ?

• CVE-2026-115889 (toutes architectures) : avant la version 43, Cranelift stockait des numéros de suivi de valeurs dans des champs de 24 bits. Dans les builds de production, un nombre trop grand débordait sans erreur, ce qui pouvait produire un code machine incorrect puis une confusion de types, exploitable avec une fonction WebAssembly très grande.

• CVE-2026-115893 (ARM64 uniquement) : sur l'instruction `br_table`, les index hors limites passaient par un branchement qui n'atteint qu'environ 1 Mio. Au-delà d'environ 256 000 cibles, il pointait silencieusement au mauvais endroit. Le défaut existerait depuis la prise en charge d'ARM64 en 2020.

Le correctif de la première faille avait été fusionné dès le 18 février et livré dans Wasmtime 43.0.0 le 20 mars, mais sa description ne mentionnait que des fonctions plus grandes, sans allusion à la sécurité : un exemple de correctif de sécurité « silencieux ».

Quelles versions installer ?

• Branches supportées : 36.0.19, 48.0.7, 49.0.4 ou 50.0.0 (publiée le 20 octobre, elle corrige les deux failles).

• Les versions 43.0.0 à 47.x ne sont affectées que par la faille ARM64 ; les versions 37.0.0 à 42.x et antérieures à 36.0.19 le sont par les deux.

• Les branches non supportées, dont la 24.x LTS arrivée en fin de support le 20 août 2026, n'ont reçu aucun correctif.

Les hôtes ARM64 déjà passés en avril en 36.0.7, 42.0.2 ou 43.0.1 pour corriger une précédente évasion de sandbox restent vulnérables à CVE-2026-115893.

Que faire concrètement ?

• Mettre à jour, puis recompiler chaque programme qui embarque Wasmtime comme bibliothèque : mettre à jour l'outil en ligne de commande ne suffit pas.

• Migrer les branches non supportées vers une version maintenue.

• Vérifier les dépendances ARM64 avec `cargo-audit` (RUSTSEC-2026-0379 et RUSTSEC-2026-0380) : Dependabot n'a pas encore d'alerte pour CVE-2026-115893, son entrée n'étant pas validée.

• Aucun contournement n'est proposé : tant qu'un hôte n'est pas à jour, tout module fourni par un tiers est un risque.

Source

The Hacker News, article d'octobre 2026, d'après les avis de sécurité du projet Wasmtime.