Une vulnérabilité critique, CVE-2026-98432, a été découverte dans le noyau Linux. Dans certaines conditions, elle permet à des pirates d’exécuter à distance des commandes sur des serveurs sans authentification. Tim Garcia, responsable des relations avec les validateurs de la Solana Foundation, en a averti les opérateurs de nœuds Solana. La faille a obtenu la note de 9,8 sur 10 selon le système CVSS 3.1.
La faille a été découverte dans le sous-système réseau IPv4, qui gère les connexions TCP. Elle est due à une condition de concurrence : une erreur dans laquelle deux opérations simultanées interfèrent l’une avec l’autre. Le noyau libère alors une zone mémoire qui est toujours utilisée.
Selon un bulletin de Red Hat, un attaquant peut envoyer des requêtes réseau avec un timing précis et provoquer une corruption de la mémoire du noyau. Le plus souvent, cela entraîne un arrêt brutal du serveur, mais pourrait permettre l’exécution de code arbitraire.
Le problème est présent dans le noyau Linux depuis la version 4.4, publiée en 2016. Les développeurs ont déjà préparé des correctifs pour les branches prises en charge, mais ceux-ci ne sont pas encore disponibles dans toutes les distributions.
Plus précisément, au 2 novembre, Ubuntu signalait les versions 22.04, 24.04, 26.04 et 26.10 comme vulnérables. La préparation des mises à jour se poursuit.
Garcia a appelé les validateurs Solana utilisant Ubuntu à limiter temporairement le traitement de certains paquets réseau et à désactiver les fonctionnalités Multipath TCP et de migration des connexions TCP jusqu’à la publication des correctifs.
Toutefois, CVE-2026-98432 n’est pas directement liée au code de Solana. La menace concerne le système d’exploitation des serveurs sur lesquels fonctionnent les validateurs et d’autres applications réseau.
La compromission d’un tel nœud peut perturber son fonctionnement, mais ne signifie pas que la blockchain elle-même a été piratée.
Des chercheurs ont démontré un piratage à distance
Le 27 octobre, des spécialistes d’Anthropic ont indiqué que leur modèle de recherche interne, qui n’a pas encore été rendu public, avait réussi à élaborer une méthode fonctionnelle d’exploitation de CVE-2026-98432.
En laboratoire, l’IA a créé une attaque en deux étapes contre un serveur Linux sur lequel Multipath TCP était activé. Elle a permis d’obtenir les privilèges root sans identifiants ni intervention de l’utilisateur.
Lors de la première étape, le programme a révélé des informations sur l’emplacement du noyau en mémoire et contourné le mécanisme de protection KASLR. Lors de la seconde, il a exploité la même faille pour exécuter des commandes en tant que root.
Selon Anthropic, la première étape a duré environ 48 minutes et la seconde, cinq minutes de plus. Les chercheurs n’ont pas rendu public le code de l’attaque.
La démonstration a été réalisée sur un serveur doté d’une configuration précise. Les chercheurs n’ont pas affirmé que l’attaque était applicable à n’importe quel serveur Linux.
Amazon Web Services a annoncé la publication de correctifs pour Amazon Linux 2 et Amazon Linux 2023. L’entreprise ne dispose toutefois d’aucune information indiquant que CVE-2026-98432 a été exploitée lors d’attaques réelles.
Rappelons qu’à la fin octobre, le portefeuille crypto Solflare a signalé un incident lié aux clés de validateur chez un fournisseur de staking tiers. En conséquence, le nœud a cessé de générer des revenus pour les utilisateurs qui lui avaient délégué environ 1,56 million de SOL, d’une valeur de 160 millions de dollars.
Les actifs eux-mêmes n’ont pas été touchés. L’entreprise a promis de compenser les récompenses manquées pour ceux qui transféreront leur mise vers un nouveau validateur.$SOL
