Une vulnérabilité critique touchant le noyau Linux expose potentiellement l’ensemble des serveurs sous Linux à une exécution de code à distance (RCE) sans authentification. Référencée CVE-2026-43037, cette faille loge dans le module ip6_tunnel du noyau et concerne la quasi-totalité des distributions majeures, tant elle est présente depuis de nombreuses années dans le code du noyau.
Une faille ancienne, désormais exploitable à distance
La vulnérabilité affecte le module ip6_tunnel, utilisé pour la gestion des tunnels IPv6 au sein du noyau Linux. Elle permet à un attaquant distant de forcer un serveur Linux vulnérable à exécuter du code malveillant, sans qu’aucun identifiant ni accès préalable ne soit nécessaire. Sa présence dans le code depuis plusieurs années explique pourquoi elle touche la quasi-totalité des distributions Linux majeures actuellement en production.
Un score de criticité maximal
Les évaluations de sévérité varient légèrement selon les sources : les développeurs du noyau Linux lui attribuent un score CVSS de 9,8, tandis que d’autres organismes de sécurité la classent entre 8,8 et 9,2. Dans tous les cas, il s’agit d’une faille critique, la plus haute catégorie de gravité, en raison de sa combinaison rare : exploitation à distance, absence d’authentification requise, et exécution de code arbitraire.
Quelles distributions sont concernées et où en sont les correctifs ?
Red Hat Enterprise Linux (versions 8, 9 et 10) dispose déjà de correctifs noyau. Debian propose des correctifs depuis fin mai 2026. Du côté d’Ubuntu, les mises à jour pour les versions 22.04 LTS et 24.04 LTS restent en attente. Les administrateurs systèmes doivent vérifier l’état des correctifs disponibles pour leur distribution spécifique sans attendre.
Comment se protéger en attendant un correctif
En l’absence de mise à jour immédiatement disponible, un contournement temporaire consiste à bloquer le chargement du module ip6_tunnel via la configuration modprobe, jusqu’à ce qu’un redémarrage avec un noyau corrigé soit possible. Cette faille rappelle une règle simple mais essentielle en administration système : un code vieux de plusieurs années, jamais réellement ré-audité, peut receler des vulnérabilités critiques prêtes à être exploitées à grande échelle dès qu’elles sont découvertes.