Corriger les failles KEV du noyau Linux : vérifier chaque CVE dans le paquet de la distribution et le noyau actif

Ce que c'est

État au 25 octobre 2026. Le catalogue KEV de CISA comprend les failles distinctes du noyau Linux ci-dessous. Revérifier chaque action KEV et l’état des paquets de la distribution utilisée avant de clôturer un constat. La page Ubuntu consacrée à CVE-2026-31431 et l’avis de CloudLinux sur trois CVE utilisés ici affichent tous deux une mise à jour datée du 12 octobre 2026.

CVE	Périmètre de protection	Ajout au catalogue KEV
CVE-2026-31431	Copy Fail : élévation de privilèges via l’interface cryptographique	1 mai 2026
CVE-2026-53362	Élévation de privilèges dans le sous-système IPv6	27 août 2026
CVE-2026-53266	Écriture hors limites dans le filtrage des ponts réseau	18 septembre 2026
CVE-2025-39682	Gestion incorrecte des conditions dans TLS au niveau du noyau	18 septembre 2026
CVE-2025-39964	Condition de concurrence dans l’interface de sockets cryptographiques	18 septembre 2026

Pourquoi c'est important

Ces entrées ne sont pas des noms interchangeables désignant un seul correctif. Ubuntu décrit Copy Fail comme permettant une élévation locale de privilèges et une possible évasion de conteneur. CloudLinux documente des produits affectés et une couverture livepatch différents pour les trois autres failles qu’il évalue. Éviter d’attribuer à toutes les entrées les mêmes prérequis ou le même impact.

Une distribution peut fournir un correctif de sécurité au sein de sa famille de noyau existante. Pour le paquet source Ubuntu linux, Copy Fail est corrigée dans 6.8.0-117.117 sur 24.04 LTS et 5.15.0-179.189 sur 22.04 LTS. Ce sont ces versions de paquet qui constituent les exemples pertinents ici ; un seuil de version majeure du noyau amont ignorerait l’évaluation de la distribution elle-même.

Comment l'appliquer

• Identifier ce qui s’exécute. Consigner les résultats de cat /etc/os-release et de uname -r. Sur une installation Ubuntu utilisant des paquets, exécuter dpkg-query -W "linux-image-$(uname -r)" pour identifier le paquet de l’image active. Consigner sa variante, son architecture et son dépôt ; les noyaux cloud, de prise en charge matérielle et propres à un fournisseur nécessitent les lignes d’avis qui leur correspondent.
• Construire une matrice des CVE par hôte. Pour chaque CVE répertoriée, conserver le verdict de la distribution — affecté, corrigé ou non affecté — et la révision de l’avis. Les correctifs Ubuntu ci-dessus ne s’appliquent qu’à Copy Fail dans la famille de paquets sources indiquée. Ils ne prouvent pas la résolution des constats relatifs à IPv6, aux ponts réseau, à TLS ou à la condition de concurrence sur les sockets.
• Installer et activer le bon noyau. Utiliser le mécanisme de mise à jour de sécurité pris en charge par la distribution, puis planifier un redémarrage sur le noyau corrigé. Exécuter à nouveau les commandes d’inventaire après le redémarrage. Comparer les versions de paquets selon les règles de version de la distribution et vérifier que l’image prévue a effectivement démarré. La seule présence d’un paquet plus récent sur disque ne suffit pas.
• Traiter livepatch comme une preuve distincte. Sur Ubuntu, examiner canonical-livepatch status ; la sortie documentée distingue la prise en charge du noyau de l’état du correctif. Exiger l’avis de couverture du fournisseur pour chaque CVE applicable et pour ce noyau précis en cours d’exécution. Pour les déploiements KernelCare, CloudLinux indique kcarectl --patch-info pour examiner la couverture des CVE ; --info n’est qu’un résumé. Sans couverture explicite applicable, maintenir l’action de mise à jour du noyau suivie d’un redémarrage.
• Limiter les mesures provisoires à leur périmètre. L’avis Ubuntu USN-8226-1, daté du 30 avril 2026, décrit une mise à jour temporaire de kmod qui bloque algif_aead et nécessite un redémarrage. La traiter comme une mesure d’atténuation de Copy Fail propre au fournisseur, pas comme un remplacement permanent d’un noyau corrigé ni comme une protection contre toutes les failles cryptographiques. Consulter l’avis actuel avant d’appliquer ou de lever une restriction.

Pièges

Ne pas décharger des composants cryptographiques ou réseau au seul motif qu’une autre distribution le recommande. CloudLinux avertit expressément que le blocage des modules ne désactive pas son interface intégrée concernée par CVE-2025-39964. L’absence de plantages ou une communication réussie avec le service livepatch ne peuvent pas prouver l’absence de compromission. Si l’enquête établit l’existence de modifications privilégiées non autorisées, préserver les preuves et reconstruire depuis un support fiable plutôt que de considérer l’installation du correctif comme un verdict d’intégrité.