Faille critique Linux TCP : CVE-2026-98432
Original : TCP Use-After-Free: CVE-2026-98432 / CVSS 9.8
Pourquoi c'est important
Une RCE root sans auth sur tout serveur Linux en écoute TCP, c'est rare.
CVE-2026-98432, use-after-free CVSS 9.8 dans la pile IPv4 TCP du noyau Linux, corrigée upstream le 15 octobre 2026. Ubuntu et RHEL n'ont toujours pas publié de correctif. Un exploit fonctionnel signé Claude d'Anthropic permet l'exécution root sans authentification.
Découverte et signalée par un chercheur d'Anthropic — dont le modèle Claude a rédigé un proof-of-concept opérationnel — CVE-2026-98432 est une use-after-free dans le handshake TCP/IPv4 du noyau Linux. Elle touche toutes les versions depuis Linux 4.4. Le correctif upstream (quatre lignes) est disponible dans les versions 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 et 7.3, publiées les 11 et 15 octobre 2026.
La faille est exploitable avant toute intervention applicative, dès qu'un serveur accepte une connexion IPv4 TCP. L'exploit cible en priorité les hôtes disposant d'un listener multipath TCP (MPTCP) — or, selon la Go Security Team, les programmes Go activent ces listeners par défaut, élargissant considérablement la surface d'attaque.
Au 31 octobre, Ubuntu affiche encore « Vulnerable » pour tous ses kernels ; Red Hat a rehaussé sa note à Critical (CVSS 9.8) le 30 octobre, mais RHEL 8, 9 et 10 restent sans correctif. Debian, SUSE Enterprise, Oracle UEK et Amazon Linux disposent déjà de kernels corrigés. En attendant un patch, Atlas recommande de filtrer les paquets TCP portant des options IPv4 et de désactiver MPTCP si inutilisé.