# Wasmtime : deux failles critiques (CVSS 9.9) permettent de sortir du bac à sable

> Deux bogues du compilateur Cranelift permettent à un module WebAssembly malveillant d'échapper à son isolation ; la mise à jour et la recompilation s'imposent.

- Source : KLYNLABS (https://klynlabs.eu)
- URL : https://klynlabs.eu/articles/wasmtime-cve-2026-115889-115893-failles-critiques-cranelift-evasion-sandbox
- Auteur : Kelvyn
- Publié le : 27 octobre 2026 (2026-10-27T04:37:00.628Z)
- Rubrique : Cybersécurité
- Sujets : Vulnérabilité, Wasmtime, WebAssembly, Cranelift, CVE-2026-115889
- Langue : français

Deux failles critiques du runtime WebAssembly **Wasmtime**, référencées CVE-2026-115889 et CVE-2026-115893 et notées 9.9 sur 10 sur l'échelle CVSS, permettent à un module WebAssembly malveillant de sortir de son bac à sable, selon les avis de sécurité publiés le 19 octobre 2026 et détaillés par [The Hacker News](https://thehackernews.com/2026/10/two-critical-wasmtime-flaws-could-let.html).

## Qui est concerné par les failles de Wasmtime ?

Les deux bogues se trouvent dans **Cranelift**, le compilateur qui produit par défaut le code machine de Wasmtime. Le risque est maximal pour les services qui compilent des modules écrits par des tiers : l'article cite Fastly, qui utilise Wasmtime pour sa plateforme Compute exécutant du code client. Les avis ne nomment aucun service affecté et ne disent pas ce qu'un attaquant atteindrait après son évasion.

## Comment fonctionnent les deux vulnérabilités ?

- **CVE-2026-115889 (toutes architectures)** : avant la version 43, Cranelift stockait des numéros de suivi de valeurs dans des champs de 24 bits. Dans les builds de production, un nombre trop grand débordait sans erreur, ce qui pouvait produire un code machine incorrect puis une confusion de types, exploitable avec une fonction WebAssembly très grande.
- **CVE-2026-115893 (ARM64 uniquement)** : sur l'instruction `br_table`, les index hors limites passaient par un branchement qui n'atteint qu'environ 1 Mio. Au-delà d'environ 256 000 cibles, il pointait silencieusement au mauvais endroit. Le défaut existerait depuis la prise en charge d'ARM64 en 2020.

Le correctif de la première faille avait été fusionné dès le 18 février et livré dans Wasmtime 43.0.0 le 20 mars, mais sa description ne mentionnait que des fonctions plus grandes, sans allusion à la sécurité : un exemple de correctif de sécurité « silencieux ».

## Quelles versions installer ?

- Branches supportées : 36.0.19, 48.0.7, 49.0.4 ou 50.0.0 (publiée le 20 octobre, elle corrige les deux failles).
- Les versions 43.0.0 à 47.x ne sont affectées que par la faille ARM64 ; les versions 37.0.0 à 42.x et antérieures à 36.0.19 le sont par les deux.
- Les branches non supportées, dont la 24.x LTS arrivée en fin de support le 20 août 2026, n'ont reçu aucun correctif.

Les hôtes ARM64 déjà passés en avril en 36.0.7, 42.0.2 ou 43.0.1 pour corriger une précédente évasion de sandbox restent vulnérables à CVE-2026-115893.

## Que faire concrètement ?

- Mettre à jour, puis **recompiler chaque programme qui embarque Wasmtime comme bibliothèque** : mettre à jour l'outil en ligne de commande ne suffit pas.
- Migrer les branches non supportées vers une version maintenue.
- Vérifier les dépendances ARM64 avec `cargo-audit` (RUSTSEC-2026-0379 et RUSTSEC-2026-0380) : Dependabot n'a pas encore d'alerte pour CVE-2026-115893, son entrée n'étant pas validée.
- Aucun contournement n'est proposé : tant qu'un hôte n'est pas à jour, tout module fourni par un tiers est un risque.

> Selon les mainteneurs, aucune attaque n'a été signalée, et aucune des deux failles ne figure dans le catalogue des vulnérabilités exploitées (KEV) de la CISA au 26 octobre 2026. Il s'agit de failles théoriquement exploitables, non d'exploitations observées.

## À retenir

- Les failles CVE-2026-115889 et CVE-2026-115893 de Wasmtime ont chacune un score CVSS de 9.9 sur 10 et permettent à un module WebAssembly de sortir de son bac à sable.
- La faille CVE-2026-115893 ne touche que les processeurs ARM64, alors que CVE-2026-115889 concerne toutes les architectures.
- Les versions corrigées sont Wasmtime 36.0.19, 48.0.7, 49.0.4 et 50.0.0, et tout programme embarquant la bibliothèque doit être recompilé.
- Aucune exploitation en conditions réelles n'a été signalée au 26 octobre 2026.

## Source

[The Hacker News](https://thehackernews.com/2026/10/two-critical-wasmtime-flaws-could-let.html), article d'octobre 2026, d'après les avis de sécurité du projet Wasmtime.

---

Article publié par KLYNLABS, signé Kelvyn. À citer avec son lien : https://klynlabs.eu/articles/wasmtime-cve-2026-115889-115893-failles-critiques-cranelift-evasion-sandbox