CISA inscrit trois vulnérabilités du noyau Linux exploitées en production

Contexte et portée

Le 19 septembre 2026, la Cybersecurity and Infrastructure Security Agency (CISA) a ajouté trois failles du noyau Linux à son catalogue KEV (Known Exploited Vulnerabilities). Les CVE‑2025‑39682, CVE‑2026‑53266 et CVE‑2025‑39964 affichent respectivement des scores CVSS de 9.8, 8.8 et 7.8, ce qui indique un risque élevé à même d’entraîner divulgation de mémoire, élévation de privilèges ou déni de service. Aucun détail public n’explique la chaîne d’exploitation, mais Red Hat a publié des correctifs le même jour (19 septembre 2026, 02 h UTC) en soulignant la présence d’exploits actifs.

Mécanismes des vulnérabilités

CVE‑2025‑39682 concerne une vérification inadéquate dans le chemin de réception TLS. Un utilisateur authentifié local peut déclencher une lecture hors limites, exposant potentiellement des zones de mémoire du noyau ou provoquant un plantage du processus TLS. La nature « improper check for unusual or exceptional conditions » implique que le code ne filtre pas correctement les états d’erreur, ce qui ouvre une fenêtre d’accès non autorisé.

CVE‑2026‑53266 est une écriture hors limites dans le module ebtables, plus précisément lors du réécriture ARP du SNAT. L’écriture dépasse le tampon prévu, permettant à un attaquant local de corrompre des structures critiques du noyau, déclenchant soit un comportement inattendu, soit une élévation de privilèges. La vulnérabilité exploite la logique de traduction d’adresses réseau, un composant fréquemment utilisé dans les environnements de conteneurs et de virtualisation.

CVE‑2025‑39964 repose sur une condition de course dans les sockets AF_ALG. Deux processus peuvent écrire simultanément sur le même socket, corrompant les résultats cryptographiques ou provoquant un plantage du service. Cette race condition affecte la stabilité des opérations cryptographiques du noyau, ce qui peut entraîner des pertes d’intégrité de données ou un déni de service prolongé.

Réponse de la communauté et mesures d’atténuation

Red Hat a publié des bulletins de sécurité pour chaque CVE, recommandant une mise à jour immédiate. Les correctifs corrigent les vérifications d’erreur, renforcent les limites de tampon et introduisent des verrous de synchronisation pour les sockets AF_ALG. Le Binding Operational Directive (BOD) 26‑04 impose aux agences fédérales civiles (FCEB) de déployer ces correctifs avant le 21 septembre 2026, soulignant l’obligation de prioriser les mises à jour à haut risque.

Parallèlement, le chercheur Asim Manizada a divulgué quatre autres LPE (CVE‑2026‑80844, CVE‑2026‑81000, CVE‑2026‑68121, CVE‑2026‑74469) qui ne figurent pas encore dans le KEV. Leur présence indique une activité de découverte accrue dans le sous‑système du noyau, mais aucune exploitation en cours n’a été confirmée.

Implications pour les environnements fédéraux

Les trois vulnérabilités ciblent des fonctions essentielles du noyau Linux, largement déployées dans les serveurs cloud, les conteneurs et les systèmes embarqués des agences gouvernementales. La combinaison d’un score CVSS supérieur à 7, d’une exploitation confirmée et d’une exposition locale signifie que toute machine non patchée constitue un point d’entrée facile pour un acteur malveillant disposant déjà d’un accès limité. Les organisations doivent donc vérifier la version du noyau, appliquer les correctifs Red Hat et renforcer la segmentation réseau afin de limiter la portée d’un éventuel mouvement latéral.