Le développeur Bitcoin Core et Lightning Matt Corallo a signalé le 30 octobre une grave vulnérabilité du noyau Linux, CVE-2026-98432, affectant la négociation TCP IPv4 et affichant une severity CVSS de 9,8. Anthropic a démontré qu’elle pouvait être transformée en exploitation distante avec accès root sur les systèmes exposant un service Multipath TCP, configuration activée par défaut depuis Go 1.24, y compris dans certaines versions récentes de LND. Lightning Labs a publié en urgence lnd v0.21.6-beta et lnd v0.20.7-beta, qui désactivent par défaut les services Multipath TCP et ferment le chemin d’exploitation démontré, sans corriger la faille du noyau. environ 2,1 millions de serveurs accessibles via Multipath TCP sur le port 443 ont été détectés, mais aucune exploitation confirmée n’a été signalée. Canonical a.place les noyaux corrigés dans un canal optionnel pour Ubuntu 22.04, 24.04 et 26.04, tandis que Red Hat, Debian, Amazon Linux et d’autres distributions ont déjà publié des correctifs.
Source: Lire l’article original
