Anza a émis une alerte « Action Required » le 2 novembre invitant les validateurs Solana mainnet-beta à atténuer une vulnérabilité critique du noyau Linux qu'Ubuntu n'a pas encore corrigée.

Le développeur de logiciels Solana a cité un fil de Tim Garcia, responsable des relations validateurs de la Solana Foundation, demandant aux opérateurs sous Ubuntu de filtrer le trafic jusqu'à l'arrivée d'un correctif.

Les validateurs sont les machines qui traitent les transactions Solana et maintiennent le consensus du réseau ; une faille non corrigée dans leur système d'exploitation touche donc l'infrastructure centrale plutôt que des outils périphériques.

Garcia veut désactiver Multipath TCP et la migration de sockets

Dans le fil de Garcia, il énumère trois modifications à apporter en attendant qu'un paquet Ubuntu soit disponible. Les opérateurs doivent utiliser nftables pour bloquer les paquets TCP entrants portant des options IPv4.

Il leur a également conseillé de désactiver Multipath TCP avec net.mptcp.enabled=0, tandis que net.ipv4.tcp_migrate_req=0 coupe la migration des sockets de requête TCP.

Red Hat a averti que le filtrage réduit l'exposition mais n'empêche pas totalement l'exploitation.

L'avis concerne les validateurs fonctionnant sous Ubuntu. Les exigences d'Anza stipulent que le client se compile et s'exécute sur Ubuntu 24.04 et nécessite une adresse IPv4 publique — la famille d'adresses dont le chemin de handshake TCP entrant contient la faille.

Selon Garcia, la défaut du noyau, CVE-2026-98432, a été corrigée en amont, mais aucune mise à jour n'a encore été publiée pour les utilisateurs d'Ubuntu. La défaut se situant dans le noyau, aucune version du client validateur ne peut la corriger sur les hôtes Ubuntu ; le correctif doit passer par la distribution.

CVE-2026-98432 laisse le noyau lire de la mémoire libérée

Le traqueur de Canonical, qui a publié le CVE pour la première fois le 15 octobre et l'a mis à jour pour la dernière fois le 30 octobre, marque le paquet principal du noyau sur 26.10, 26.04 LTS, 24.04 LTS et 22.04 LTS comme « Vulnerable work in progress ». Les versions plus anciennes, 20.04 et 18.04, sont simplement listées comme vulnérables. La faille affiche un score CVSS de 9,8 — dans la plage critique de l'échelle — et une priorité Ubuntu High.

CVE-2026-98432 est une faille de type use-after-free dans le code IPv4 du noyau : même après la libération de la mémoire, le noyau peut encore lire de la mémoire qui faisait partie d'une connexion réseau. La description de Canonical la lie au handshake TCP des connexions entrantes — le socket enfant est libéré pendant qu'un SYN retransmis pour le même socket de requête est traité par un second CPU, ce qui conduit ip_options_build() à lire de la mémoire libérée.

Un bug similaire se produit lorsque la migration des sockets de requête TCP est activée, ce qui explique pourquoi Garcia la désactive dans sa liste. IPv6 évite le premier problème, car son code de handshake duplique les options.

Le 1er novembre, Red Hat a publié des avis avec des correctifs du noyau pour RHEL 8, 9 et 10, et Debian propose des paquets corrigés pour bookworm et trixie. Les opérateurs sous Ubuntu, pendant ce temps, restent sur les mesures d'atténuation de Garcia jusqu'à l'arrivée du paquet noyau de Canonical qui fera sortir le CVE de « Vulnerable work in progress ».

Les failles Linux ont déjà frappé l'infrastructure crypto

L'infrastructure crypto a déjà été touchée par des failles Linux cette année. En mai 2026, Cryptopolitan a rapporté deux bugs du noyau, Copy Fail et Dirty Frag, qui ont mis en alerte les plateformes d'échange, les validateurs et les systèmes de conservation. Un serveur Linux compromis peut exposer les informations d'identification de signature et l'accès administrateur de la machine.

En janvier, les opérateurs Solana avaient été invités à appliquer un correctif critique de validateur, v3.0.14. Cette fois, le bug se situe dans le noyau dont dépend le client — sous le logiciel client lui-même, ce qui explique pourquoi l'alerte d'Anza oriente les opérateurs vers des mesures d'atténuation au niveau du système d'exploitation plutôt que vers une mise à niveau logicielle.