Le 7 novembre, nous rendions compte de la faille de la poignée de main TCP du noyau Linux, CVE-2026-98432 (voir cet article). À ce moment-là, Debian, Red Hat et AlmaLinux avaient publié leurs correctifs et seul Ubuntu indiquait encore « work in progress ». Le 10 novembre, Ubuntu a publié une série d'avis de sécurité pour le noyau, et les paquets corrigés se trouvent désormais dans les dépôts de mises à jour de 22.04, 24.04 et 26.04. Ubuntu classe la faille comme critique (Critical), avec un score CVSS de 9,8. Si votre serveur tourne sous Ubuntu, il s'agit maintenant de mettre à jour le noyau et de redémarrer.

Versions corrigées

  • 24.04 (USN-9022-1) : noyau générique 6.8.0-149.149, linux-aws 6.8.0-1069.74, linux-azure 6.8.0-1073.82, linux-gcp 6.8.0-1073.81, linux-oracle 6.8.0-1067.71.
  • 22.04 (USN-9027-1) : noyau générique 5.15.0-203.213, linux-aws 5.15.0-1120.127, linux-azure 5.15.0-1126.135, linux-gcp 5.15.0-1121.131, linux-kvm 5.15.0-1112.117. Si vous utilisez un noyau cloud 6.8 sur 22.04, voir USN-9024-1 ; linux-aws-6.8, par exemple, est en 6.8.0-1069.74~22.04.1.
  • 26.04 (USN-9018-1) : noyau générique 7.0.0-43.43, linux-aws 7.0.0-1017.18. Sur 26.10, le correctif se trouve dans 7.3.0-10.10.
  • Pas encore publiés (état de la page d'Ubuntu au 11 novembre) : le noyau HWE de 22.04, linux-hwe-6.8 (version en attente 6.8.0-149.149~22.04.1), linux-hwe-7.0 sur 24.04 (7.0.0-43.43~24.04.1) et le noyau 5.4 de 20.04 (5.4.0-247.267 ; 20.04 ne reçoit de mises à jour que par l'ESM payant). Si vous utilisez l'un d'eux, continuez de vous appuyer sur la règle temporaire ci-dessous.

Étapes de mise à jour

  • Exécutez uname -r pour connaître le noyau actuel. Le suffixe qui suit la version, comme -generic, -aws ou -azure, indique la variante de noyau que vous utilisez ; repérez sa version corrigée dans la liste ci-dessus.
  • Exécutez sudo apt update && sudo apt full-upgrade pour installer le nouveau noyau. L'avis d'Ubuntu prévient que l'ABI du noyau a changé : les modules noyau tiers que vous avez compilés vous-même doivent donc être recompilés ; les systèmes qui utilisent les métapaquets noyau standard s'en chargent automatiquement pendant la mise à jour.
  • Vous devez redémarrer ensuite : sudo reboot. Les mises à jour automatiques (unattended-upgrades) installent les paquets mais ne redémarrent pas par défaut : les avoir activées ne signifie donc pas que la faille est corrigée chez vous ; si le fichier /var/run/reboot-required existe encore, le nouveau noyau n'est pas en service. Après le redémarrage, relancez uname -r et vérifiez que la version n'est pas inférieure à celle de la liste.

Si vous ne pouvez pas encore mettre à jour : la règle temporaire d'Ubuntu

La page d'Ubuntu consacrée à la faille fournit une règle nftables qui écarte les paquets TCP IPv4 entrants porteurs d'options IP. Son cœur est ip protocol tcp ip hdrlength > 5 counter drop, placé sur la chaîne input d'une table distincte, inet cve_2026_98432 (priorité -310). Selon Ubuntu, les options TCP comme les horodatages et la mise à l'échelle de la fenêtre ne sont pas touchées, pas plus qu'IPv6 ; les conteneurs qui disposent de leur propre réseau doivent recevoir la règle séparément ; et celle-ci réduit le risque sans empêcher totalement l'exploitation. Une fois le noyau mis à jour et la machine redémarrée, supprimez la table avec sudo nft delete table inet cve_2026_98432 et retirez la ligne include correspondante de /etc/nftables.conf. La désactivation de MPTCP, que nous décrivions dans le précédent article, est un palliatif du même ordre ; le réactiver ou non après la mise à jour du noyau, c'est à vous d'en décider.

Un rappel au passage : le support gratuit de 20.04 a pris fin depuis longtemps, et le support standard de 22.04 ne court que jusqu'en avril 2027 ; la marche à suivre pour la mise à niveau se trouve dans cet article. La configuration de base du pare-feu est expliquée dans le pare-feu ufw et la connexion par clé SSH, et si le serveur a présenté des processus ou des connexions inhabituels pendant qu'il n'était pas corrigé, parcourez notre guide d'enquête et de re-sécurisation d'un VPS compromis.