Une faille critique vient d'être corrigée dans le noyau Linux, le cœur du système d'exploitation qui fait tourner la grande majorité des serveurs et des machines virtuelles du monde. Elle touche KVM, le composant qui permet à Linux de faire fonctionner des machines virtuelles, et elle est notée 9,3 sur 10, soit le niveau critique. Voilà ce qui se passe, qui est concerné et ce que tu dois faire.
Une faille dans le cœur de la virtualisation
KVM, pour Kernel-based Virtual Machine, est le mécanisme de virtualisation intégré au noyau Linux. C'est lui qui permet à un seul ordinateur physique de faire tourner plusieurs systèmes d'exploitation isolés les uns des autres, ce qu'on appelle des machines virtuelles. Quand tu loues un serveur chez un hébergeur, il y a de fortes chances qu'il soit découpé en machines virtuelles grâce à KVM.
La faille, référencée CVE-2026-80726, est un use-after-free, c'est-à-dire une utilisation de mémoire déjà libérée. Concrètement, le gestionnaire de mémoire virtuelle de KVM peut manipuler une zone mémoire qui n'existe plus, ce qui ouvre la porte à une corruption de la mémoire et potentiellement à une exécution de code arbitraire. Le rapport de sécurité indique que l'exploitation est locale, sans privilèges, et que l'impact sur la confidentialité, l'intégrité et la disponibilité est élevé.
Schéma explicatif NumeriBrain — réalisé par la rédaction à partir des données NVD et cve.org. Ce n'est pas une capture du produit.
Qui est concerné et pourquoi c'est grave
La faille touche toutes les versions du noyau Linux depuis la 2.6.30, c'est-à-dire pratiquement quinze ans de versions. Elle est présente dès lors que KVM est utilisé, ce qui est le cas de la quasi-totalité des serveurs cloud, des hébergeurs mutualisés et des infrastructures de virtualisation. Si tu fais tourner des machines virtuelles chez toi avec un hyperviseur Linux, tu es aussi concerné.
Le danger principal vient du fait que l'exploitation est locale et sans privilèges. Cela signifie qu'un utilisateur déjà présent sur la machine, ou une machine virtuelle compromise, pourrait potentiellement s'échapper de son environnement isolé et accéder au système hôte. C'est le scénario redouté de l'évasion de machine virtuelle, qui peut compromettre l'ensemble d'un serveur et toutes les machines virtuelles qu'il héberge.
Ce qu'il faut faire maintenant
La bonne nouvelle, c'est que le correctif est déjà disponible. Les versions stables corrigées sont les 6.1.183, 6.6.152, 6.12.104, 6.18.45, 7.1.9 et 7.2. Si tu administres un serveur Linux, mets à jour ton noyau dès que possible. Sur la plupart des distributions, une simple mise à jour du paquet du noyau puis un redémarrage suffisent.
Pour les hébergeurs et les administrateurs de cloud, la priorité est de planifier une fenêtre de maintenance pour appliquer le correctif sur tous les hôtes de virtualisation. Tant que le correctif n'est pas appliqué, il est prudent de limiter l'accès aux machines et de surveiller les journaux pour détecter une éventuelle exploitation.
Ce qu'on attend ensuite
Le correctif étant déjà intégré aux branches stables, les distributions vont le diffuser dans les prochains jours. Il faut surveiller les annonces de sécurité de ta distribution pour appliquer la mise à jour dès qu'elle est disponible. Cette faille rappelle une fois de plus que la virtualisation, si pratique soit-elle, reste une surface d'attaque qu'il ne faut jamais négliger.
Sources
La fiche NVD de la faille, avec le détail technique et le score CVSS.
L'enregistrement officiel de la CVE sur cve.org, avec les versions affectées et corrigées.
—
Recherche, relecture et illustration assistées par IA. Le contenu reflète le travail éditorial de la rédaction.
No comments yet