Faille critique découverte dans le noyau Linux

Une vulnérabilité critique baptisée PwnEscape, notée 9,3/10 en gravité, a été découverte dans le noyau Linux. Elle touche l'isolation des machines virtuelles sur les serveurs KVM. La faille, identifiée par des chercheurs de pwn.ai et référencée CVE-2026-99999, permet à un attaquant disposant de privilèges élevés dans une machine virtuelle d'exploiter son interface réseau virtuelle de type virtio pour contourner les protections qui l'isolent du serveur hôte.

Mécanisme d'exploitation expliqué

La vulnérabilité ne se situe pas directement dans KVM, mais dans la manière dont Linux traite certains paquets réseau. Lorsqu'une machine virtuelle transmet des données, elle peut déléguer le calcul de leur somme de contrôle au noyau hôte, une opération destinée à vérifier l'intégrité des informations échangées. Cependant, une validation insuffisante permet de détourner cette opération afin de modifier une partie du paquet que Linux avait déjà vérifiée.

Impact démontré lors de tests en laboratoire

Les chercheurs de pwn.ai ont démontré qu'ils pouvaient récupérer des informations présentes dans la mémoire du serveur hôte et exécuter du code avec les privilèges administrateur sur leurs machines de laboratoire. Leurs tests ont également provoqué le plantage d'un serveur et des machines virtuelles qu'il hébergeait. Vercel a confirmé qu'une fuite de mémoire depuis l'hôte avait été démontrée sur son infrastructure de production, dans le cadre de son programme de recherche en vulnérabilités. En revanche, la prise de contrôle complète du serveur n'a été réalisée que sur les machines de laboratoire des chercheurs.

Aucune exploitation confirmée pour l'instant

Aucune exploitation malveillante d'infrastructures de production n'a été établie publiquement à ce stade. Les hébergeurs commencent à sécuriser leurs serveurs. La divulgation de PwnEscape a déclenché une course aux correctifs. Le correctif a été intégré au code réseau de Linux le 8 octobre, avant d'être inclus dans la branche principale du noyau le 14 octobre. Debian propose déjà des versions corrigées, notamment les noyaux 6.1.190-1 pour Bookworm et 6.12.113-1 pour Trixie. Chez Ubuntu, plusieurs versions étaient encore à l'étude au moment de la vérification.

Des approches variées pour l'atténuation

Les hébergeurs n'ont pas tous choisi la même méthode. Selon Heise, Netcup a commencé à redémarrer ses serveurs de virtualisation pour appliquer les correctifs. Hetzner, de son côté, a mis en place une protection temporaire reposant sur eBPF, une technologie permettant de filtrer certains comportements directement au sein du système.

La responsabilité incombe aux hébergeurs

La correction de cette faille dépend principalement des hébergeurs, car ce sont les machines hôtes qui doivent être protégées, et l'installation d'un nouveau noyau nécessite en général un redémarrage.

Le rôle de l'IA dans la découverte de failles

La découverte de PwnEscape met aussi en lumière le rôle de l'intelligence artificielle en cybersécurité. Les chercheurs expliquent avoir identifié la vulnérabilité en seulement trois jours, en s'appuyant sur un système d'analyse automatisé utilisant GPT-5.6 Sol. Le coût des requêtes adressées au modèle est resté inférieur à 700 dollars. L'IA n'a pas travaillé seule : les chercheurs ont orienté les investigations, vérifié les hypothèses et confirmé les résultats. Cette méthode leur a néanmoins permis d'explorer rapidement un volume considérable de code. La correction, en revanche, a demandé plusieurs semaines de travail et d'échanges avec les mainteneurs du noyau Linux.

Comprendre l'évasion de machine virtuelle

Une évasion de VM désigne une attaque par laquelle un acteur, depuis une machine virtuelle (VM), parvient à sortir de son environnement isolé pour interagir avec le système hôte. Sur KVM, l'hôte Linux contrôle le matériel et orchestre plusieurs VM ; si l'hôte est compromis, la séparation entre les clients peut s'effondrer. L'impact dépasse la VM attaquante : accès à la mémoire de l'hôte, modification de la configuration du serveur et possibilité d'atteindre d'autres VM hébergées sur la même machine. Cela est critique dans les environnements cloud multi-locataires, car l'isolation est à la base de la sécurité et du modèle économique.

L'interface virtio et ses risques

Virtio est une interface de paravirtualisation qui permet à une VM de communiquer efficacement avec l'hôte pour des fonctions telles que le réseau et le stockage, avec moins de surcharge qu'une émulation matérielle complète. Concrètement, la VM transmet des paquets à une couche côté hôte qui les traite via la pile réseau de Linux. Si cette pile, ou une étape associée (validation, délestage, copie mémoire), contient un bogue, la VM peut provoquer un comportement anormal sur l'hôte. Virtio devient ainsi un point d'entrée privilégié, car il est conçu pour des échanges rapides et fréquents entre l'invité et l'hôte.

Délestage de la somme de contrôle et ses vulnérabilités

Le délestage de la somme de contrôle consiste à laisser l'hôte (ou le matériel) calculer la somme de contrôle d'un paquet réseau à la place de l'émetteur, afin de gagner en performance. Ce mécanisme s'appuie sur des métadonnées décrivant les parties du paquet couvertes par les contrôles d'intégrité. Si le noyau valide une structure puis autorise la modification de champs censés rester fixes, une incohérence apparaît entre ce qui a été vérifié et ce qui est réellement traité. Dans le pire des cas, cela peut provoquer des lectures ou écritures mémoire hors limites : fuite d'informations sensibles en mémoire, plantages, voire exécution de code avec des privilèges élevés sur l'hôte.