La CISA donne trois jours aux agences pour corriger trois failles du noyau Linux exploitées

La CISA a ajouté trois vulnérabilités du noyau Linux à son catalogue des vulnérabilités exploitées connues le 18 septembre 2026, invoquant des preuves que les trois sont exploitées en conditions réelles, et a donné aux agences civiles fédérales jusqu'au 21 septembre pour les corriger. La fenêtre d'environ 72 heures est bien plus courte que les trois semaines que les agences reçoivent habituellement pour les entrées KEV.

À lire aussi: La CISA classe PolyShell comme exploitée pendant que la campagne Magento touche des centaines de boutiques · Le Patch Tuesday d'octobre 2026 de Microsoft établit un record avec 1 407 correctifs.

Les trois failles se trouvent dans des parties sans lien du noyau, ce qui rend l'ajout inhabituel. Il s'agit de CVE-2025-39682, une faille dans le chemin de réception TLS du noyau notée 9.8 ; CVE-2026-53266, une écriture hors limites dans la cible SNAT ebtables du pont netfilter notée 8.8 ; et CVE-2025-39964, une condition de course dans l'interface de socket cryptographique AF_ALG notée 7.8. La CISA les a publiées dans deux alertes le même jour : une portant sur CVE-2025-39682 et une seconde portant sur les deux autres.

Les trois ont été marquées comme nécessitant une analyse forensique au titre de la directive opérationnelle contraignante 26-04, ce qui signifie que les agences doivent déterminer si leurs systèmes étaient déjà compromis, et non considérer un correctif comme la fin de la réponse. La CISA n'a pas divulgué qui exploite les failles, quelles organisations ont été touchées, ni quelles techniques ont été utilisées. Aucune des entrées n'a été marquée comme liée à un rançongiciel.

Trois bogues très différents

CVE-2025-39682 est la plus grave sur le papier et la plus large en portée. Elle concerne le TLS du noyau, une fonction qui déplace le traitement des enregistrements TLS dans l'espace noyau pour plus d'efficacité. Le bogue touche la gestion des enregistrements de longueur nulle extraits de la file de réception, ce qui peut briser une hypothèse que le code ultérieur fait sur le fait que les données aient déjà été déchiffrées. L'avis de Red Hat note que la logique concernée peut être déclenchée par des données arrivant sur le réseau, sur des systèmes où kTLS est attaché à des sockets TCP, ce qui place en tête de liste pour examen les services exposés à internet qui s'appuient sur l'accélération TLS du noyau.

CVE-2026-53266 est plus étroite mais plus grave quand elle s'applique. Il s'agit d'une écriture hors limites dans la cible SNAT d'ebtables dans le code netfilter du pont, qui réécrit les adresses réseau du trafic ponté. Quand une fonction optionnelle réécrit l'adresse matérielle de l'émetteur ARP, le noyau peut écrire en mémoire sans d'abord vérifier que la destination est inscriptible, et dans certains cas cette mémoire est adossée à un fragment de tampon de socket lié à un fichier importé via une opération splice. L'exploiter exige des règles de pont netfilter spécifiques et, dans de nombreuses analyses, des privilèges équivalents à CAP_NET_ADMIN, ce qui réduit la population concernée mais inclut des charges de travail conteneurisées et des appliances réseau qui accordent cette capacité à des processus de service.

CVE-2025-39964 est la plus accessible pour un attaquant local. C'est une condition de course dans AF_ALG, l'interface qui permet aux programmes en espace utilisateur d'utiliser directement les primitives cryptographiques du noyau. L'interface n'imposait pas de propriété exclusive du chemin d'écriture sur un socket, si bien que deux threads ou processus écrivant simultanément pouvaient entrelacer leurs opérations et laisser l'état cryptographique interne du noyau incohérent. Le résultat peut être un plantage ou une sortie cryptographique corrompue, ce qui est un problème d'intégrité des données autant qu'un déni de service. La faille aurait été présente dans le noyau pendant environ 14 ans et a été trouvée par STAR Labs, qui a démontré une élévation de privilèges et une évasion de conteneur lors du concours kernelCTF de Google et a déclaré ne pas avoir utilisé d'IA pour la trouver.

L'avertissement de Red Hat et l'état des correctifs

Red Hat a mis à jour ses avis vers le 19 septembre pour reconnaître l'exploitation active. Dans les avis relatifs à chaque faille, l'entreprise indique que la vulnérabilité présente un risque élevé et qu'il existe des exploits publics connus, et invite ses clients à la traiter en priorité. Des correctifs sont disponibles dans les branches du noyau prises en charge, et Red Hat a publié des correctifs dont RHSA-2025:16880 et RHSA-2025:16904 pour CVE-2025-39682, et RHSA-2026:36645, RHSA-2026:39082 et RHSA-2026:39083 pour CVE-2026-53266.

Pour CVE-2026-53266, il existe une atténuation en attendant le correctif : désactiver la réécriture de l'adresse matérielle ARP dans les règles SNAT d'ebtables, ou supprimer les règles SNAT qui agissent sur le trafic ARP sur les interfaces de pont. Pour CVE-2025-39964, aucune atténuation fonctionnelle n'est disponible en dehors de l'application du correctif, selon Red Hat. Comme les bogues se trouvent dans le noyau principal plutôt que dans l'empaquetage d'une seule distribution, l'exposition s'étend à RHEL, Ubuntu, Debian et d'autres systèmes dérivés du noyau, à des degrés divers selon la version du noyau et la configuration livrées par chacun.

Un détail mérite d'être distingué du discours de l'éditeur. CVE-2026-53266 n'a pas été démontrée avec du code d'exploitation public, et les analyses ont déduit la chaîne d'élévation de privilèges par analogie avec Dirty Pipe plutôt qu'en montrant une attaque fonctionnelle. Cela ne contredit pas la conclusion de la CISA selon laquelle la faille a été exploitée, mais cela signifie que les défenseurs doivent considérer le tableau public des exploits comme incomplet.

Pourquoi le délai était si court

La BOD 26-04 a changé la façon dont la CISA hiérarchise les correctifs fédéraux. Plutôt que de trier les vulnérabilités sur le seul score CVSS, elle pondère quatre variables, dont le fait qu'une faille soit connue comme exploitée. Les ajouts concernant le noyau Linux en sont une illustration claire : CVE-2025-39964 ressemblerait à un bogue local de gravité moyenne dans un processus fondé d'abord sur le score, mais l'exploitation confirmée et l'exigence d'analyse forensique la placent sur le même délai de 72 heures qu'une faille notée 9.8.

Pour les organisations hors du gouvernement fédéral américain, l'inscription au KEV est un signal plutôt qu'une obligation. Les fonctions du noyau concernées sont assez courantes pour que le conseil pratique soit simple : identifier les hôtes et conteneurs Linux exécutant des versions vulnérables du noyau, prioriser les systèmes où kTLS est attaché à des sockets TCP, où les règles de pont netfilter utilisent SNAT ebtables avec réécriture ARP, et où des charges de travail invoquent directement AF_ALG. Comme corriger un paquet ne modifie pas un noyau en cours d'exécution, les équipes doivent vérifier la version du noyau après la mise à jour et redémarrer si nécessaire.

Une liste pratique

Les trois failles exigent des conditions d'exposition différentes pour être exploitables, si bien que les défenseurs peuvent trier au lieu de paniquer. Le bogue TLS du noyau est celui à prioriser sur les systèmes exposés à internet, car Red Hat indique qu'il peut être déclenché par le trafic réseau sur les hôtes où kTLS est attaché à des sockets TCP. Les services qui terminent TLS dans le noyau pour la performance, dont certains proxys, répartiteurs de charge et systèmes de stockage, sont le premier endroit à examiner. Vérifier si kTLS est utilisé est une question de configuration, et les hôtes qui ne l'utilisent pas ne sont pas exposés par ce chemin.

La faille ebtables est plus situationnelle. Elle nécessite des règles de pont netfilter qui effectuent du SNAT avec réécriture de l'adresse matérielle ARP, et les analyses d'exploitation suggèrent qu'elle exige aussi des privilèges équivalents à CAP_NET_ADMIN. Les hôtes de conteneurs, les nœuds de virtualisation et les appliances réseau qui confient cette capacité à des processus de service sont les plus susceptibles d'être touchés. Une atténuation à court terme consiste à désactiver la réécriture de l'adresse matérielle ARP dans les règles SNAT ebtables ou à supprimer les règles SNAT qui agissent sur le trafic ARP sur les interfaces de pont.

La course AF_ALG est un problème local, ce qui signifie que l'attaquant doit avoir du code en cours d'exécution sur l'hôte. Elle compte surtout dans les environnements multi-locataires et de conteneurs, où un processus peu privilégié pourrait entrer en course avec la gestion cryptographique des sockets du noyau. Aucune atténuation n'existe en dehors du correctif, et comme la faille est une condition de course, son exploitabilité pratique varie selon la charge de travail et le timing.

Sur les trois, l'exigence d'analyse forensique est la partie facile à négliger. Un correctif ferme la porte mais ne dit pas si quelqu'un est passé par là. Les organisations qui traitent l'échéance KEV comme la fin du travail risquent de manquer des preuves de compromission antérieure, ce que la directive de la CISA vise précisément à éviter.

Ce qu'il faut surveiller

La première question est de savoir ce que les attaquants font réellement de ces failles. La CISA n'a pas publié d'indicateurs de compromission ni de renseignement sur les menaces, si bien que les défenseurs travaillent à partir de la seule inscription au KEV. Si l'analyse forensique révèle des preuves d'exploitation dans des agences fédérales, davantage de détails pourraient suivre.

La deuxième est de savoir si les failles ont été utilisées ensemble. Le bogue TLS du noyau est déclenchable à distance dans la bonne configuration, le bogue ebtables peut mener à une élévation de privilèges, et le bogue AF_ALG est une course locale. Une chaîne qui commence à distance et s'élève localement serait plus dangereuse que n'importe quelle faille isolée, et aucun reportage public ne les a encore reliées.

La troisième est le schéma plus large. Trois bogues du noyau sans lien exploités en même temps, avec un délai de 72 heures, rappellent que la surface d'attaque du noyau Linux est vaste et que les cycles de correctifs des logiciels d'infrastructure peuvent accuser un retard sur l'exploitation. Pour les équipes qui exploitent Linux à grande échelle, l'enseignement utile est de réduire l'écart entre un avis sur le noyau et un redémarrage, car le prochain ajout au KEV est une question de temps.

Couverture : photo Wikimedia Commons d'une mise à jour système Arch Linux via pacman sur un ordinateur portable Acer par Solijon Solayev (CC BY-SA 4.0).