Le développeur Bitcoin Core et Lightning Matt Corallo a attiré l'attention sur une vulnérabilité grave du noyau Linux le 30 octobre, critiquant la réponse tardive d'Ubuntu face à ce qu'il a qualifié de « la vulnérabilité Linux la plus critique de tous les temps ». Le bug, référencé CVE-2026-98432, affecte le code de poignée de main TCP IPv4 du noyau et présente un score de gravité CVSS de 9,8, le plaçant dans la bande critique du Common Vulnerability Scoring System, dont l'échelle culmine à 10. L'Frontier Red Team d'Anthropic a ensuite démontré qu'il pouvait être transformé en exploit root à distance contre les systèmes exposant un auditeur Multipath TCP (MPTCP) — une fonctionnalité réseau du noyau permettant à une seule connexion TCP de circuler simultanément sur plusieurs chemins réseau.

Peter Todd a relayé l'avertissement le même jour, exhortant toute personne exécutant LND sous Linux avec des ports ouverts à éteindre leurs nœuds Bitcoin Lightning jusqu'à ce que le noyau soit corrigé ou autrement atténué. Le chemin d'exploit démontré repose sur un auditeur MPTCP — quelque chose que Go 1.24 et les versions ultérieures activent par défaut, une valeur par défaut au niveau du langage qui s'étend à tout l'écosystème Go plutôt que d'être propre aux logiciels Bitcoin. Comme LND est écrit en Go, les versions récentes écoutaient avec MPTCP sur leurs ports peer, gRPC et REST chaque fois que le noyau avait la fonctionnalité activée.

Lightning Labs a répondu le jour même avec des versions d'urgence : lnd v0.21.6-beta et un backport, v0.20.7-beta. Les deux désactivent les auditeurs MPTCP par défaut, fermant le chemin d'exploit démontré via LND, selon les notes de version du projet. Le changement a été présenté comme une atténuation plutôt qu'une correction, le projet notant que seul un noyau corrigé résout entièrement le problème sous-jacent. Les autres services sur la même machine restent exposés jusqu'à ce que MPTCP soit désactivé sur tout l'hôte ou que le noyau soit mis à jour. Olaoluwa Osuntokun et le compte officiel de Lightning Labs ont tous deux recommandé d'installer la mise à jour.

Le chercheur en sécurité Marcus Hutchins a ensuite signalé une activité de scan à l'échelle d'Internet cohérente avec des acteurs de la menace recherchant des systèmes exposés. Ses scans ont identifié environ 2,1 millions de serveurs accessibles via MPTCP sur le port 443, le port standard du trafic HTTPS. International Cyber Digest a relayé cette découverte le 4 novembre, soulignant à la fois l'activité de scan et le calendrier de correctifs plus lent d'Ubuntu.

Canonical a depuis rendu des noyaux corrigés disponibles dans le dépôt proposed optionnel — la zone de préproduction d'Ubuntu où les paquets sont testés avant une diffusion plus large — pour Ubuntu 22.04, 24.04 et 26.04, mais ils n'ont pas encore atteint le canal des mises à jour régulières. Red Hat a livré des correctifs pour RHEL 8, 9 et 10 le 1er novembre, tandis que Debian, Amazon Linux et d'autres distributions avaient déjà publié des correctifs auparavant.

UmbrelOS 2.0.1 a inclus le correctif du noyau le 1er novembre pour les appareils x86 et a appliqué une atténuation bloquant le trafic sur Raspberry Pi, où un noyau corrigé n'était pas encore disponible. Aucune exploitation confirmée in the wild n'a été signalée, et la vulnérabilité n'a pas été ajoutée au catalogue des vulnérabilités exploitées connues de la CISA. La démonstration de root à distance d'Anthropic reste non publiée.

L'exposition pratique est la plus élevée sur les serveurs exposés à Internet. Les ordinateurs de bureau domestiques derrière un NAT et des pare-feu typiques, sans auditeurs TCP publics, sont bien moins affectés. Pour les opérateurs Lightning sous Linux, les nouvelles versions de LND suppriment le chemin d'auditeur MPTCP spécifique utilisé par l'exploit public, mais le bug plus large du noyau persiste jusqu'à l'installation d'un noyau corrigé. Les indicateurs restants à surveiller sont la promotion par Ubuntu des noyaux corrigés du dépôt proposed vers le canal des mises à jour régulières, la publication de la démonstration de root à distance d'Anthropic, et l'éventuelle inscription de la faille au catalogue des vulnérabilités exploitées connues de la CISA.

Cet article est d'abord apparu sur Bitcoin Magazine et est écrit par Juan Galt.