Matt Corallo, développeur de Bitcoin Core et de Lightning, a signalé une grave vulnérabilité du noyau Linux le 30 octobre. Répertoriée sous le numéro CVE-2026-98432, la faille touche le code de négociation TCP IPv4 du noyau et affiche un score CVSS de 9,8. L’équipe Frontier RED Team d’Anthropic a démontré un exploit permettant d’obtenir un accès root à distance sur des systèmes dotés d’un écouteur Multipath TCP (MPTCP) exposé.

La voie d’exploitation concerne LND, car Go 1.24 et les versions ultérieures activent par défaut les écouteurs MPTCP lorsque le noyau prend en charge cette fonctionnalité. Les versions récentes de LND pouvaient donc écouter les connexions des pairs ainsi que les connexions gRPC et REST via MPTCP. Peter Todd a averti les utilisateurs de Linux qui exécutent LND avec des ports ouverts d’arrêter leurs nœuds jusqu’à ce qu’ils aient corrigé le problème ou pris d’autres mesures pour l’atténuer.

Lightning Labs a publié lnd v0.21.6-beta et le rétroportage v0.20.7-beta le 30 octobre. Les deux versions désactivent par défaut les écouteurs MPTCP, bloquant ainsi la voie précise démontrée dans l’exploit. Le projet a présenté ce changement comme une mesure d’atténuation plutôt que comme une correction : la vulnérabilité sous-jacente nécessite une mise à jour du noyau, et d’autres services exécutés sur la même machine peuvent rester exposés tant que MPTCP n’est pas désactivé à l’échelle du système ou que le noyau n’a pas été corrigé.

Le chercheur en sécurité Marcus Hutchins a ensuite signalé une activité d’analyse compatible avec des tentatives de détection de systèmes exposés. Ses analyses ont repéré environ 2,1 millions de serveurs accessibles via MPTCP sur le port 443. Aucune exploitation confirmée dans la nature n’avait été signalée, et la vulnérabilité n’avait pas été ajoutée au catalogue des vulnérabilités exploitées connues de la CISA. La démonstration d’accès root à distance d’Anthropic n’a pas été publiée.

Canonical a mis à disposition des noyaux corrigés dans le dépôt « proposed » accessible sur inscription pour Ubuntu 22.04, 24.04 et 26.04, mais ceux-ci n’étaient pas encore disponibles dans le canal de mises à jour habituel. Red Hat a livré des correctifs pour RHEL 8, 9 et 10 le 1er novembre ; Debian, Amazon Linux et d’autres distributions avaient publié des correctifs auparavant. UmbrelOS 2.0.1 incluait également le correctif du noyau pour les appareils x86, tandis que les appareils Raspberry Pi ont reçu une mesure d’atténuation bloquant le trafic, faute de noyau corrigé disponible à ce moment-là.

Les serveurs accessibles depuis Internet sont les plus exposés. Les ordinateurs de bureau domestiques situés derrière des systèmes NAT et des pare-feu classiques, sans écouteurs TCP publics, sont moins concernés. Pour les opérateurs Lightning sous Linux, les versions de LND ferment la voie MPTCP démontrée, mais l’installation d’un noyau corrigé reste nécessaire pour remédier à la faille plus générale.

Sources: Bitcoin Magazine.