Vingt et un ans de sédimentation logicielle s’effondrent avec une rigueur implacable. Le 18 septembre 2026, le chercheur en sécurité Asim Manizada a rendu publiques quatre preuves de concept opérationnelles ciblant des failles logées dans la pile réseau du noyau Linux. Référencées CVE-2026-80844 (DirtyAH6), CVE-2026-81000 (TUNderflow), CVE-2026-68121 (PPPoEject) et CVE-2026-74469 (DiagSpill), ces vulnérabilités permettent à un utilisateur local d’obtenir un shell root sans négociation. L’illusion des forteresses logiques s’évanouit dès qu’une arithmétique de base déraille dans l’espace privilégié. Les mécanismes de défense s’effacent devant un pointeur corrompu.
Signalées à l’équipe security@kernel.org à la mi-juillet 2026, les brèches ont fait l’objet d’un embargo coordonné avant la publication des correctifs. Les premières versions stables amont contenant l’ensemble des réparations portent les numéros 5.10.270, 5.15.221, 6.1.188, 6.6.157, 6.12.109, 6.18.50 et 7.2.4. Ces références concernent uniquement le code officiel maintenu par Linus Torvalds et son équipe. Sur le terrain des serveurs en production, chaque distribution applique son propre calendrier et ses désignations de paquets. Les administrateurs doivent inspecter leur version active via la commande uname -r et examiner les avis émis par leur système d’exploitation, à l’image des correctifs déployés sur Debian 13.7 Trixie pour sécuriser les composants réseau exposés. Aucune exploitation active dans la nature n’apparaît dans les données de télémetrie, toutefois les codes d’exploitation se téléchargent et s’exécutent désormais sans entrave depuis les dépôts publics.
L’obtention des privilèges découle de défauts de conception enfouis depuis une décennie pour trois d’entre eux, et plus de deux décennies pour le plus vénérable. DirtyAH6 illustre cette longévité en affectant le code depuis la version 2.6.12 du noyau, parue en 2005. Dans le traitement de l’Authentication Header IPv6 (IPsec AH6), la fonction ipv6_rearrange_rthdr() validait aveuglément la variable segments_left présente dans l’en-tête de routage. Cette négligence engendre une opération memmove() hors limites qui écrase les structures mémoire adjacentes. De son côté, TUNderflow exploite un dépassement vers le bas de size_t au sein des interfaces virtuelles TUN/TAP, provoqué par une valeur de marge injectée par Open vSwitch. PPPoEject sanctionne une erreur d’utilisation de mémoire libérée (use-after-free) dans pppoe_sendmsg, où un tampon réseau survit à l’exécution d’une routine de destruction.
DiagSpill ignore les barrières habituelles et fait sauter le verrou sans requérir de privilèges préalables. Alors que DirtyAH6, TUNderflow et PPPoEject exigent l’activation des unprivileged user namespaces pour permettre à un compte ordinaire d’atteindre les couches vulnérables, l’anomalie du sous-système SCTP frappe d’emblée via le module sctp_diag. Le composant manipule un compteur d’extrémités encodé sur 16 bits. Dès que le volume d’associations atteint 65 536 éléments, la variable subit un bouclage arithmétique et retombe à zéro. Le noyau alloue une zone mémoire vide avant d’y recopier l’intégralité des données, déversant 8 Mio d’informations au-delà des limites du tampon prévu. Un bouclage arithmétique élémentaire anéantit des années de durcissement défensif.
La portée distante des attaques suscite des craintes que les bancs d’essai ramènent à leur juste dimension. Asim Manizada a évalué le déclenchement distant de DirtyAH6 et DiagSpill dans des configurations de laboratoire très restrictives. Pour DirtyAH6, la compromission réclame un façonnage préalable de la mémoire et des paquets forgés ciblant un routeur IPv6 configuré en mode transport. Il qualifie cette méthode d’« extrêmement difficile » hors laboratoire. Concernant DiagSpill, aucun chemin n’aboutit à l’exécution de code arbitraire à travers le réseau. L’évasion de conteneur demeure une hypothèse théorique non démontrée, même si la perspective incite les architectes d’infrastructure à vérifier l’isolation de leurs environnements mutualisés.
En attendant l’application des correctifs officiels, des verrous temporaires permettent d’endiguer l’offensive. La neutralisation des espaces de noms utilisateurs via la commande sysctl kernel.unprivileged_userns_clone=0 ferme l’accès aux primitives de DirtyAH6, TUNderflow et PPPoEject pour les utilisateurs non privilégiés. Le déchargement préventif des modules ah6, tun, pppoe et sctp supprime également la surface d’exposition. Les mécanismes de contrôle d’accès comme SELinux et AppArmor n’ont pas bloqué les exploits lors des tests initiaux.
La distribution Ubuntu bénéficie toutefois d’un rempart protecteur grâce à ses règles AppArmor restreignant l’instanciation des espaces de noms utilisateurs sans privilèges, neutralisant ainsi les trois premières failles par défaut. Les équipements réseau et les serveurs délaissés courent en revanche un danger immédiat. Une machine non mise à jour risque une compromission totale pour intégrer des infrastructures malveillantes, à l’image du réseau zombie Evooo1Bot spécialisé dans l’enrôlement de serveurs non maintenus.
L’évaluation de sévérité reflète cette exposition, avec un indice CVSS 8.8 attribué à DiagSpill et un score de 7.8 pour TUNderflow et PPPoEject, tandis que DirtyAH6 attend sa notation définitive. La découverte de cet ensemble provient d’un outillage d’analyse automatisé capable d’explorer l’agencement mémoire du noyau. Le commit rectificatif de DirtyAH6 comprend une balise Assisted-by pour mentionner cet environnement d’analyse, conformément aux règles éditoriales adoptées par les mainteneurs du noyau en avril 2026. Cette méthodologie avait déjà permis d’identifier la faille OVSwrap en juillet 2026. Face à des outils d’audit capables de débusquer des erreurs logiques vieilles de vingt ans, le théâtre des rustines temporaires ne suffit plus. L’unique protection pérenne exige d’installer les paquets corrigés fournis par sa distribution et de redémarrer le système sans délai.
