Linux : désactiver Multipath TCP ne suffit pas contre CVE-2026-98432
Dans son bulletin actualisé le 3 novembre 2026, Red Hat précise qu’une mesure parfois proposée contre CVE-2026-98432 ne suffit pas : désactiver Multipath TCP ne protège pas entièrement les systèmes concernés. Red Hat Enterprise Linux reste vulnérable dans sa configuration par défaut, où cette fonction est déjà désactivée.
La faille, rendue publique en octobre, se situe dans le traitement des connexions TCP sur IPv4. Une condition de concurrence peut entraîner l’utilisation d’une zone mémoire déjà libérée. Un attaquant distant, sans authentification ni intervention de l’utilisateur, pourrait provoquer un plantage ou une corruption mémoire, voire une exécution de code. Red Hat attribue 9,8/10 en CVSS 3.1, tout en précisant qu’une exécution de code fiable exige un contrôle délicat de la mémoire et du chronométrage. L’avis ne fournit pas de preuve d’une campagne active.
RHEL 8, 9 et 10 sont concernés, ainsi que des produits reposant sur leurs noyaux. Les errata correctifs comprennent RHSA-2026:93414, RHSA-2026:93412 et RHSA-2026:93413 ; leur applicabilité dépend de la version et du flux de maintenance. Le filtrage réseau décrit par l’éditeur peut réduire l’exposition, mais ne remplace pas le correctif du noyau. Pour les hébergeurs, l’enjeu est de vérifier chaque système, plutôt que déduire sa sécurité de la seule absence de Multipath TCP.
Sources :
