Deux failles vieilles de 15 ans dans le noyau Linux nécessitent des correctifs urgents

Deux vulnérabilités de haute gravité, restées dormantes dans le noyau Linux pendant plus de 15 ans, ont été divulguées publiquement cette semaine, entraînant des correctifs urgents sur les principales distributions et fournisseurs de cloud. Les deux ont été démontrées via les programmes de primes aux bugs de Google Alphabet Inc. ↗ 0.53% avant que les correctifs ne soient disponibles.

GhostLock : Root en cinq secondes

Des chercheurs de Nebula Security ont divulgué GhostLock (CVE-2026-43499), une faille de type use-after-free dans le sous-système mutex en temps réel du noyau, présente dans toutes les distributions Linux grand public depuis son introduction dans Linux 2.6.39 en mai 2011. La vulnérabilité, qui obtient un score de 7,8 sur l'échelle CVSS, ne nécessite qu'un accès utilisateur local ordinaire — aucun privilège spécial, aucun accès réseau et aucune configuration inhabituelle.secure+3

Le bug réside dans la fonction `remove_waiter()`, qui a été réutilisée dans un contexte pour lequel ses hypothèses initiales n'étaient pas adaptées, laissant un pointeur suspendu vers la mémoire du noyau exploitable pour une élévation de privilèges. Nebula affirme que son exploit réussit 97 % du temps, rapportant à l'équipe 92 337 $ via le programme kernelCTF de Google.privacyguides+1

Le correctif a été intégré en amont en avril 2026 dans Linux 7.1, mais le déploiement sur les distributions reste inégal. Début juillet, Ubuntu listait toujours ses versions 24.04, 22.04 et 20.04 LTS comme vulnérables ou en cours de traitement. Red Hat a publié un bulletin de sécurité couvrant RHEL 6 à 10 et a publié un noyau corrigé pour RHEL 9 le 8 juillet. Il n'existe aucune solution de contournement complète car le chemin de code vulnérable est utilisé par des opérations de threading de routine.thehackernews+3

Januscape : S'échapper de la machine virtuelle

Par ailleurs, le chercheur en sécurité Hyunwoo Kim a divulgué Januscape (CVE-2026-53359), une faille de type use-after-free dans l'émulation MMU fantôme de KVM qui permet à une machine virtuelle invitée malveillante de s'échapper vers l'hôte et d'exécuter du code en tant que root. Kim a démontré la faille en tant que zero-day dans le programme kvmCTF de Google, qui offre jusqu'à 250 000 $ pour une évasion complète de VM vers l'hôte.securityweek+2

Le code vulnérable date d'août 2010 dans Linux 2.6.36 et affecte à la fois les architectures Intel et AMD — la première évasion KVM connue à le faire. Une preuve de concept déclenchant une panique du noyau hôte depuis un invité a été publiée, bien que l'exploit d'évasion complet reste retenu. La faille a été corrigée dans la branche principale le 19 juin et rétroportée vers les branches stables d'ici le 4 juillet.cybernews+4

Fournisseurs de cloud en alerte

Les opérateurs cloud sont confrontés à la menace la plus aiguë de Januscape. "Un attaquant qui a loué une seule instance sur un cloud public pourrait provoquer une panique du noyau hôte pour faire tomber toutes les autres VM locataires sur la même machine physique, ou exécuter du code avec des privilèges root sur l'hôte pour prendre le contrôle de l'hôte et de tous les invités qui s'y trouvent", a écrit Kim dans son avis. Il est conseillé aux organisations incapables de corriger immédiatement de désactiver la virtualisation imbriquée ou de restreindre les autorisations sur `/dev/kvm`, qui est accessible en écriture par tous par défaut sur RHEL 8 et versions ultérieures.cloudlinux+3