Des informations sur la vulnérabilité du noyau Linux « PwnEscape » (CVE-2026-99999) ont été publiées en octobre 2026. Un attaquant opérant depuis une machine virtuelle pourrait exécuter du code malveillant sur le système d’exploitation Linux de l’hôte. Sa gravité est évaluée à 9,3 sur une échelle de 1 à 10, ce qui correspond au niveau le plus élevé, « Critique ».
Une brèche dans le « mur » de la machine virtuelle
La virtualisation permet de créer plusieurs environnements indépendants, un pour chaque utilisateur, sur un même serveur physique. De nombreux VPS, serveurs d’hébergement et services cloud reposent sur cette technologie. Nous les utilisons en partant du principe que l’environnement des utilisateurs voisins est invisible et inaccessible.
PwnEscape s’attaque à ce mur lui-même. Si un attaquant peut sortir de la machine virtuelle invitée et atteindre le système Linux de l’hôte, les autres utilisateurs partageant le même serveur physique, voire les systèmes de l’opérateur, risquent d’être touchés. C’est comme si la clé de son appartement permettait d’entrer dans le local de gestion d’un immeuble.
Une faille dans la vérification des données de communication sert de porte d’entrée
Les explications techniques ont été publiées dans un message envoyé sur Openwall, une liste de diffusion destinée aux spécialistes de la sécurité. La faille se trouve dans le traitement réseau du noyau Linux. Selon le message, des données liées au « checksum », utilisé pour vérifier l’intégrité des données transmises, pouvaient être modifiées par un attaquant.
En principe, une fois l’en-tête IPv4 — qui contient notamment la destination de la communication — vérifié par le noyau, il est considéré comme fiable et le traitement se poursuit. Mais cette faille permettait de modifier l’en-tête vérifié en passant par le champ du checksum. À partir de là, il était possible de perturber le déroulement normal du traitement réseau, puis de lire et d’écrire à des emplacements mémoire normalement inaccessibles. Dans un environnement de recherche, l’exploitation aurait même permis d’exécuter du code sur le système Linux de l’hôte.
L’objet du message est « Guest-to-Host KVM Escape » et désigne l’environnement KVM, la technologie de virtualisation de Linux. Toutefois, la faille se situant dans le traitement réseau, un composant fondamental du noyau, l’attaque pourrait aussi fonctionner dans des environnements autres que KVM, comme les conteneurs.
Ce qui a été démontré et les attaques à venir
Pour l’heure, la faille n’a été démontrée que dans un environnement de recherche. Rien n’indique que des attaques se propagent dans la nature.
Le message estime toutefois que les acteurs du secteur de la sécurité vont s’appuyer sur ces informations pour étudier les répercussions sur d’autres hyperviseurs, les logiciels qui exécutent les machines virtuelles. Il prévoit ensuite l’apparition, dans les prochaines semaines, de codes d’attaque visant des configurations peu protégées, puis, d’ici un mois, de codes capables de fonctionner sur des hyperviseurs avec leur configuration par défaut.
Il ne s’agit pas d’un fait établi, mais d’une prévision. Néanmoins, puisque des éléments techniques sont désormais publics, il est réaliste de partir du principe que le délai pour agir sera court.
Les utilisateurs doivent surveiller la réponse de leur prestataire
Les opérateurs qui proposent des machines virtuelles Linux sous forme de service doivent prendre des mesures en urgence. Un utilisateur malveillant pourrait en effet s’échapper de sa propre machine virtuelle et attaquer les systèmes d’autres clients ou ceux de l’opérateur.
Dans l’après-midi du 17 octobre 2026, au Japon, Sakura Internet a annoncé suspendre les nouvelles souscriptions à certains services, dont « Sakura no VPS » et « Sakura no Rental Server », et avoir commencé à prendre des mesures. AWS indique que ses services gérés de calcul et de conteneurs, tels qu’Amazon EC2, AWS Lambda et AWS Fargate, ne sont pas concernés et qu’aucune action n’est requise de la part des clients.
Même lorsqu’il s’agit de « machines virtuelles Linux », les répercussions varient selon l’opérateur et le type de service. Les entreprises et les particuliers qui utilisent des VPS, des serveurs d’hébergement ou des services cloud ne devraient pas se fier au seul nom du service : mieux vaut vérifier le périmètre concerné et les mesures annoncées par leur prestataire. La sécurité de la virtualisation dépend non seulement des paramètres choisis par les utilisateurs, mais aussi des actions de ceux qui exploitent l’infrastructure.
コメント