• Intersect a mis en garde les opérateurs de pools de staking Cardano contre la faille CVE-2026-98432 le 30 octobre.
• La faille Linux affiche un score de gravité CVSS de 9,8 sur 10.
• Anthropic a déclaré que son IA Claude avait créé une attaque fonctionnelle lors d’un test de 53 minutes, révélé le 27 octobre.
Intersect met en garde les opérateurs de pools
Intersect, le groupe de coordination à l’origine de la gouvernance de Cardano (ADA), a mis en garde les opérateurs de pools de staking le 30 octobre contre une vulnérabilité Linux critique susceptible de faire planter les serveurs qui produisent les blocs Cardano ou, dans certaines configurations, d’en donner le contrôle à un tiers. La faille est référencée CVE-2026-98432 et affiche un score de gravité CVSS de 9,8 sur 10. Elle touche les noyaux remontant jusqu’à la version 4.4, selon la mise à jour hebdomadaire d’Intersect. Linux fait fonctionner bon nombre des machines qui assurent le fonctionnement de la blockchain, et ce bogue permet à des requêtes Internet spécialement conçues de perturber la gestion de la mémoire par un serveur. Une attaque réussie peut faire complètement planter la machine ou, dans certaines configurations, donner à un tiers un accès total sans mot de passe. Un score CVSS de 9,8 place une faille dans la catégorie la plus grave attribuée par les évaluateurs, réservée aux vulnérabilités exploitables à distance avec peu de complexité.
L’avertissement fait suite à une étude publiée par Anthropic le 27 octobre, dans laquelle l’entreprise indiquait que son système d’IA Claude avait développé une attaque de ce type contre des serveurs utilisant le TCP multipath, une fonctionnalité réseau qui permet à une même connexion d’emprunter plusieurs chemins à la fois. Le test automatisé a produit un exploit fonctionnel en 53 minutes, indique la publication de recherche de l’entreprise. Du code de test a été rendu public par la suite, sans toutefois démontrer la prise de contrôle complète d’un serveur. Aucune attaque contre l’infrastructure des pools Cardano n’a été signalée à ce jour, et les données de marché ne montrent aucun impact direct établi sur le cours de Cardano. La plupart des producteurs de blocs Cardano fonctionnent sur des serveurs Linux, raison pour laquelle l’avis a été adressé aux opérateurs plutôt qu’aux détenteurs ordinaires. La notification concerne la couche infrastructure, et non le registre lui-même, mais Intersect l’a jugée suffisamment urgente pour la signaler dans sa mise à jour hebdomadaire de coordination. Or, la production de blocs du réseau repose précisément sur le type de machines Linux visées par la faille.
Les correctifs tardent sur Ubuntu et Red Hat
L’exposition concerne le staking. Dans le modèle de preuve d’enjeu de Cardano, les détenteurs délèguent leurs ADA à des pools qui produisent des blocs et perçoivent des récompenses. À l’heure actuelle, environ 21,5 milliards d’ADA, soit près de 58 % de l’offre en circulation, sont délégués sur le réseau. Avec ce système, les pièces ne quittent jamais le portefeuille de leur propriétaire, et la documentation de Cardano précise clairement que les ADA délégués restent disponibles à tout moment. La prise de contrôle d’un pool ne donne donc pas à un attaquant la propriété des pièces de ses délégateurs. En revanche, un pool hors ligne, c’est une autre histoire : la même documentation indique que de mauvaises performances réduisent les récompenses reçues par le pool et ses membres. Un serveur mis hors service par cette faille diminuerait donc les paiements bien avant de toucher au capital. Cette ampleur de la délégation explique pourquoi l’avertissement a d’abord été adressé aux opérateurs : c’est leur disponibilité, et non la sécurité des portefeuilles des détenteurs, que la faille menace.
La mise à jour des correctifs a progressé de manière inégale sur les distributions réellement utilisées par les opérateurs. Le noyau Linux en amont a reçu un correctif le 5 octobre. Au 30 octobre, Ubuntu restait vulnérable, un correctif étant en cours d’élaboration ; Red Hat Enterprise Linux indiquait qu’un correctif était en attente, et les noyaux corrigés d’AlmaLinux étaient encore en phase de test. Cette disparité compte, car les opérateurs de pools n’utilisent pas tous la même image standard : la même faille présente donc différents degrés d’exposition selon les serveurs. Intersect a exhorté les opérateurs à vérifier leurs serveurs, à appliquer les mises à jour et à les redémarrer, plutôt que de supposer que leur distribution est déjà protégée. L’épisode rappelle celui de novembre dernier, lorsqu’une autre faille a brièvement scindé Cardano en deux chaînes ; cet incident s’est également terminé sans que les fonds des utilisateurs soient compromis. Aucun vol de fonds ni aucune perte de récompenses n’ont été associés à la faille actuelle. L’attention se porte désormais sur la rapidité avec laquelle les correctifs seront déployés sur l’infrastructure des pools Cardano, où le volume délégué fait de la disponibilité une question directement économique. Les opérateurs et les délégateurs qui souhaitent examiner leur configuration peuvent consulter notre guide pour choisir un pool de staking Cardano.
La question qui reste sans réponse est celle de l’exposition réelle, et aucun élément disponible ne permet de la trancher. Le correctif du noyau en amont a été publié le 5 octobre, mais au 30 octobre les paquets Ubuntu et Red Hat n’étaient toujours pas corrigés, ce qui concentre le risque résiduel sur les opérateurs utilisant ces distributions. Aucun décompte publié n’indique combien de producteurs de blocs Cardano ont appliqué le correctif ; l’avis et l’absence d’attaques sont donc tous deux avérés à ce jour, dans la mesure où les informations disponibles le permettent. Cet épisode permet de mieux cerner la nature du risque : il concerne les récompenses et la disponibilité, pas la garde des fonds, puisque les pièces des délégateurs restent dans leurs propres portefeuilles, quoi qu’il arrive au serveur d’un pool. Intersect, qui a récemment reversé 115 172 ADA à la trésorerie, une première sur le réseau principal, doit maintenant relever un autre type de défi de coordination.