infrastructure
CVE-2026-98432 : exploit root Linux écrit par Claude, nodes crypto exposés
Un modèle d'Anthropic transforme un use-after-free TCP du noyau Linux en exploit root distant en 53 minutes. Red Hat patché le 1er novembre, Ubuntu toujours sans correctif.
La Frontier Red Team d'Anthropic a publié le 27 octobre un billet dans lequel un modèle interne — non nommé dans la publication, « Claude » dans les reprises — transforme une faille du noyau Linux publiée douze jours plus tôt en un exploit root distant sans authentification en 53 minutes de temps machine. La vulnérabilité, CVE-2026-98432, est un use-after-free dans la pile TCP IPv4 du noyau, présent depuis Linux 4.4 (janvier 2016). Red Hat a publié le correctif RHSA-2026:93412 le dimanche 1er novembre pour RHEL 9. Au 4 novembre, Ubuntu n'a toujours pas de correctif publié pour 22.04, 24.04, 26.04 ni 26.10, selon Journal du Coin.
Numéros utiles
- CVE : CVE-2026-98432
- CVSS : 9.8 côté CNA du noyau, 8.1 côté Red Hat, initialement 5.9 (modéré) avant réévaluation
- Sous-système : pile TCP IPv4, chemin de handshake, poignée MPTCP (Multipath TCP)
- Type : use-after-free sur condition de course
- Publication CVE : 15 octobre 2026
- Commit upstream : 5 octobre 2026
- Rapport Anthropic : 27 octobre 2026
- RHSA-2026:93412 : 1er novembre 2026
- Signalement initial : Xinyang Ge (Anthropic)
Mécanique de l'exploit
La chaîne décrite dans le billet Anthropic :
- 48 minutes pour fuiter une adresse mémoire du noyau.
- 5 minutes pour réécrire un pointeur et obtenir un shell root.
- Fiabilité : une course perdue fait seulement échouer la poignée TCP sans crasher la machine. L'attaquant peut retenter indéfiniment.
- Cible démontrée : un serveur en écoute sur MPTCP.
L'équipe sécurité Go a prévenu le 29 octobre que le bug sous-jacent n'est pas spécifique à MPTCP — MPTCP est seulement la surface d'écoute la plus simple à atteindre.
Pourquoi c'est un sujet crypto
Go 1.24 ouvre MPTCP par défaut. La plupart des piles d'infrastructure blockchain écrites en Go écoutent donc en MPTCP sans configuration explicite. Journal du Coin identifie :
- lnd (Lightning Network)
- geth et Prysm (Ethereum)
- validateurs Cosmos SDK
- backends d'exchange en Go
Bitcoin Core est en C++ et n'ouvre pas MPTCP, mais un nœud en écoute sur 8333 reste exposé au bug sous-jacent. Les serveurs de signature avec clés hot wallet sont désignés par Anthropic comme cibles prioritaires : un root y expose directement les clés.
État des correctifs au 4 novembre
| Distribution | État |
|---|---|
| Debian 12 / 13 | Corrigé (6.1.190-1, 6.12.113-1) |
| Red Hat RHEL 8/9/10 | Corrigé le 1er novembre (RHSA-2026:93412) |
| Oracle Linux | Corrigé le 16 octobre |
| Ubuntu 22.04 / 24.04 / 26.04 / 26.10 | Non corrigé. Priorité « High », cibles 5.15.0-203.213 (22.04) etc., pas de date publiée. MPTCP non désactivé par défaut |
Lilting.ch et n-able.com confirment la cartographie et l'écart de scoring entre le CNA noyau et Red Hat.
Mesures immédiates
- Vérifier la version du noyau sur tous les nœuds en écoute publique (
uname -r). - Patcher sur Debian/RHEL/Oracle, redémarrer. Sur Ubuntu, pas de patch — forcer la désactivation.
- Désactiver MPTCP côté système (
sysctl net.mptcp.enabled=0, à persister) et côté runtime Go (GODEBUG=multipathtcp=0). - Filtrer les options TCP non standard en entrée via la règle nftables publiée par Red Hat, pour les machines non patchables rapidement.
- Isoler les ports RPC/P2P derrière pare-feu ou VPN — vrai pour tout node, encore plus vrai ici.
- Faire tourner les clés sur les signers hot si une compromission est possible.
Ce qu'on ne sait pas
- Si l'exploit décrit par Anthropic est en circulation. Aucune détection publique au 31 octobre.
- Si la version concrète du noyau utilisée par Anthropic pour la démonstration donne un avantage à un attaquant qui aurait lu le billet.
- Quel sera le délai Ubuntu — la priorité « High » affichée depuis le 30 octobre n'est plus en phase avec le CVSS 9.8 du CNA.
- Si des nœuds Lightning, validateurs Cosmos ou bootnodes Ethereum tournent déjà sur des machines vulnérables — le billet ne donne pas de télémétrie publique.
Contexte
C'est la première démonstration publique sous ce format — un modèle de langage qui lit un patch de sécurité et fabrique une chaîne d'exploit distante contre le noyau Linux. Trail of Bits avait publié en parallèle un rapport sur l'automatisation du backport de 149 CVE vers des noyaux stables via Codex, côté défense. Les deux côtés du boucle d'écriture-et-réparation de patchs de sécurité s'automatisent désormais à peu près au même rythme. Pour les infrastructures blockchain qui déploient massivement du Go — c'est la quasi-totalité des stacks modernes — la fenêtre d'exploitation d'un CVE kernel noté 9.8 se compresse à quelques jours entre la publication et la première chaîne fonctionnelle.