La semaine où la route vers root local s'est ouverte d'un seul coup — des LPE du noyau Linux entrent dans le catalogue KEV de CISA alors que des exploits publics arrivent
Le 18 septembre, CISA a ajouté 3 failles du noyau Linux activement exploitées (CVE-2025-39682, CVE-2026-53266, CVE-2025-39964) au catalogue KEV, et Red Hat a confirmé qu'un code d'exploit public existe. Le même jour, des exploits fonctionnels pour 4 LPE du noyau (DirtyAH6, TUNderflow, PPPoEject, DiagSpill) ont été publiés sous divulgation coordonnée. Nous examinons pourquoi l'élévation de privilèges sur hôte partagé suit les appliances de frontière sous les projecteurs.
Cet article a été traduit par une machine.
Le 18 septembre 2026, CISA a ajouté 3 vulnérabilités du noyau Linux à son catalogue Known Exploited Vulnerabilities (KEV) sur la base de preuves d'exploitation active : CVE-2025-39682 (CVSS 9.8, une vérification de condition incorrecte dans le chemin de réception TLS du noyau, permettant une divulgation de mémoire ou un déni de service), CVE-2026-53266 (CVSS 8.8, une écriture hors limites dans le chemin de réécriture ARP du SNAT ebtables du pont netfilter, permettant une élévation de privilèges locale) et CVE-2025-39964 (CVSS 7.8, une condition de course permettant des écritures concurrentes sur la même socket AF_ALG). Les agences civiles fédérales ont eu jusqu'au 21 septembre pour appliquer les correctifs. Pour aucune des 3, CISA n'a publié de détails de campagne ni d'attribution d'acteur de menace, et il reste non établi si elles forment une seule chaîne d'attaque. Ce qui est connu : Red Hat a mis à jour les avis pour les 3 en date du 19 septembre pour indiquer que le CVE est à haut risque et que des exploits publics connus existent, en demandant une remédiation de haute priorité (selon The Hacker News, CISA et Red Hat).
Le même jour, un courant distinct a élargi la surface d'attaque du noyau. Le chercheur en sécurité Asim Manizada avait signalé 4 failles d'élévation de privilèges locale (LPE) à l'équipe de sécurité du noyau Linux à la mi-juillet — DirtyAH6 (CVE-2026-80844, IPsec AH6), TUNderflow (CVE-2026-81000, périphériques réseau virtuels TUN/TAP), PPPoEject (CVE-2026-68121, PPPoE) et DiagSpill (CVE-2026-74469, sctp_diag de SCTP). Le 18 septembre, après une retenue coordonnée pour que les distributions puissent livrer les correctifs, il a publié des notes techniques avec des exploits fonctionnels. Les 4 sont corrigées dans les noyaux actuels et il n'y a pas de signalements d'usage dans le monde réel. Mais 3 des 4 — DirtyAH6, TUNderflow, PPPoEject — présupposent que les user namespaces non privilégiés sont activés, une fonction que de nombreuses distributions activent par défaut ; la 4e, DiagSpill, n'exige aucun privilège particulier tant que le module SCTP est disponible (selon le compte rendu de The Hacker News).
Analyse (séparée des faits) : l'arrivée le même jour des 2 récits marque un déplacement d'accent de « l'entrée » vers « ce qui vient après ». La semaine dernière, cet observatoire a couvert la compromission root d'appliances de frontière exposées à Internet — Cisco ISE et la Secure Email Gateway. Les appliances de frontière sont atteignables par conception, donc la question « est-elle exposée » trouve sa réponse d'elle-même ; les failles du noyau de cette semaine sont toutes d'abord locales (le déclenchement à distance est étroit et centré sur le plantage). Ce qui compte du point de vue d'un attaquant, c'est le menu croissant de chemins depuis un point d'appui initial sur un hôte partagé jusqu'à root. Les hôtes de conteneurs, les exécuteurs CI, les serveurs multi-locataires et les environnements de charge de travail d'IA sont tous des actifs dont l'hypothèse de fonctionnement est « plusieurs parties détiennent ici des shells à faibles privilèges » — chaque exploit public qui arrive abaisse le coût du déplacement latéral. Les exploits publiés exigeraient, selon les comptes, un réglage pour des builds de noyau précis et peuvent faire planter la machine ; c'est un énoncé sur le coût de développement, pas sur l'exploitabilité.
Implications défensives : (1) Les 3 entrées du KEV sont soumises aux exigences de triage forensique du BOD 26-04 de CISA, et pas seulement au correctif — l'examen des journaux à la recherche d'une compromission antérieure au correctif est la base. (2) Les user namespaces sont essentiels pour de nombreuses charges, mais sur les serveurs qui n'en ont pas besoin, les désactiver mérite d'être évalué : le fait que 3 des 4 nouvelles LPE présupposent ce seul réglage par défaut montre combien de surface d'attaque du noyau dépend d'un seul choix de configuration. (3) Sur les hôtes partagés, inventoriez la structure elle-même — isolation des locataires, exécuteurs CI éphémères, isolation des charges d'IA — en parallèle du correctif par CVE, parce que « une personne obtient root, tout le monde perd » est une propriété de conception, pas un niveau de correctif. (4) Puisque la compromission de l'espace noyau est invisible pour les agents de l'espace utilisateur, la compléter par une détection à l'exécution fondée sur eBPF et une surveillance de l'intégrité du noyau est une option réaliste. Les faits ici s'appuient sur l'alerte KEV de CISA (https://www.cisa.gov/news-events/alerts/2026/09/18/cisa-adds-two-known-exploited-vulnerabilities-catalog), la couverture par The Hacker News des ajouts au KEV (https://thehackernews.com/2026/09/cisa-flags-three-linux-kernel.html) et des 4 divulgations de LPE (https://thehackernews.com/2026/09/public-exploits-released-for-four-linux.html), et l'avis de Red Hat (https://access.redhat.com/security/cve/cve-2025-39682). L'analyse est tenue séparée du compte rendu.