Linux : une IA d’Anthropic exhume une faille de 2015 et prend la main d’un serveur en 53 minutes

Quarante-huit minutes pour obtenir une adresse dans la mémoire du noyau, cinq de plus pour exécuter une commande en administrateur. À distance, sans mot de passe, sur un serveur Linux à jour de tout sauf d’une faille vieille de onze ans. C’est le résultat publié le 27 octobre 2026 par l’équipe « Frontier Red Team » d’Anthropic, obtenu avec un modèle interne qui n’est pas commercialisé.

La faille porte le numéro CVE-2026-98432. Elle se cache dans la pile TCP du noyau, la partie qui gère les connexions réseau en IPv4, depuis la version 4.4, sortie en 2015.

Deux processeurs, une même case mémoire

Le défaut est une « condition de course » qui mène à une utilisation après libération. Quand le noyau traite une demande de connexion, deux cœurs du processeur peuvent travailler sur la même structure : l’un la libère pendant que l’autre s’en sert encore. Un attaquant qui provoque ce télescopage au bon moment peut glisser ses propres données dans la mémoire libérée.

Le détail qui rend l’attaque praticable : une course perdue fait seulement échouer la connexion. L’attaquant peut donc réessayer autant qu’il veut, sans faire planter la machine.

Sur la gravité, les avis divergent. L’équipe du noyau Linux lui donne 9,8 sur 10. Red Hat la classe à 5,9 et y voit surtout un risque de panne, l’exploitation étant jugée complexe, rapporte BleepingComputer. La démonstration d’Anthropic montre que « complexe » ne veut plus dire « hors de portée ».

MPTCP, le détail qui compte

L’attaque démontrée vise un serveur qui écoute en MPTCP, une variante de TCP capable d’utiliser plusieurs chemins à la fois, par exemple le Wi-Fi et la 4G. C’est moins rare qu’il n’y paraît : les applications écrites en Go l’activent par défaut, selon heise. Et désactiver MPTCP ne suffit pas à se protéger, prévient BleepingComputer, car la faille touche aussi le TCP ordinaire, même si aucune prise de contrôle n’y a été démontrée publiquement.

Qui doit mettre à jour, et quand

Les serveurs d’abord, et tous les ordinateurs sous Linux ensuite. La correction est intégrée aux noyaux 6.12.113, 6.18.56 et 7.2.10. Debian l’a déjà publiée pour Debian 12 et 13. Pour Ubuntu, Red Hat, Rocky Linux ou SUSE, les mises à jour arrivent version par version, selon BleepingComputer : il faut surveiller le gestionnaire de mises à jour et redémarrer après l’installation d’un nouveau noyau. En attendant, restreindre l’accès réseau aux adresses de confiance limite le risque.

Aucune exploitation par des pirates n’est signalée à ce stade. macOS n’est pas concerné. Pour Android, qui repose aussi sur le noyau Linux, aucune des sources consultées ne précise encore l’exposition des téléphones.

Le dossier s’épaissit

Cette faille n’est qu’une ligne du rapport d’Anthropic. Le même modèle a trouvé 62 failles dans Chrome, d’autres dans Safari, sur un Pixel 9 et dans le HTTP/3 de Windows. Anthropic le dit sans détour : des modèles produisent désormais des attaques fonctionnelles avec très peu d’aide humaine. Elle applique un délai de 90 jours, plus 45 si nécessaire, avant de publier les détails.

Google présentait la semaine précédente une IA réservée aux défenseurs (on en a parlé ICI), Mistral a publié la sienne en téléchargement libre (on en a parlé ICI). La question n’est plus de savoir si les IA trouvent des failles, mais qui les trouve en premier, et ce qu’il en fait.

En bref

• Un modèle interne d’Anthropic a trouvé et exploité en 53 minutes une faille du TCP de Linux présente depuis 2015.
• L’attaque démontrée donne un accès root à distance sur un serveur qui écoute en MPTCP ; désactiver MPTCP ne suffit pas.
• Les noyaux corrigés sont publiés ; installez la mise à jour de votre distribution et redémarrez.
• Aucune exploitation par des pirates n’est signalée.

Sources : Anthropic, Frontier Red Team, BleepingComputer, heise.

Le Bien Heureux · Rédaction Capibara · Dimanche 1 novembre 2026