[{"data":1,"prerenderedAt":177},["ShallowReactive",2],{"seo-verification":3,"blog-linux-noyau-cve-2026-98432-use-after-free-tcp-ipv4-verifier-corriger-fr":6},{"google":4,"bing":5},"EycwPY2XMyTkVzas3n1ygeNJFGAH513qrMjfDljzsMQ","",{"key":7,"data":8},"blog-linux-noyau-cve-2026-98432-use-after-free-tcp-ipv4-verifier-corriger-fr",{"id":9,"slug":10,"slugs":11,"title":15,"excerpt":16,"readTime":17,"views":18,"isPinned":19,"publishedAt":20,"updatedAt":21,"category":22,"categories":28,"featuredImage":30,"bgImage":31,"posterImage":32,"relatedSolution":30,"intro":33,"sections":34,"ctaTitle":124,"ctaBody":125,"ctaButton":126,"ctaUrl":127,"relatedPosts":128},534,"linux-noyau-cve-2026-98432-use-after-free-tcp-ipv4-verifier-corriger",{"fr":10,"en":12,"ar":13,"es":14},"linux-kernel-cve-2026-98432-tcp-ipv4-use-after-free-check-fix","ثغرة-نواة-لينكس-cve-2026-98432-use-after-free-tcp-ipv4-التحقق-والإصلاح","kernel-linux-cve-2026-98432-use-after-free-tcp-ipv4-verificar-corregir","CVE-2026-98432 : vérifier le noyau de votre VPS sans correctif","Use-after-free dans la pile TCP IPv4 du noyau Linux : état publié par Ubuntu et Red Hat au 30 octobre 2026, commandes de vérification, et quoi faire sans correctif.",9,0,false,"2026-10-30T00:00:00+00:00","2026-10-31T01:54:05+00:00",{"id":23,"name":24,"slug":25,"color":26,"icon":27},8,"Sécurité & Monitoring","securite-monitoring","bg-rose-500\u002F10 text-rose-400","security",[29],{"id":23,"name":24,"slug":25,"color":26,"icon":27},null,"\u002Fblog\u002Fcovers\u002Fbg.svg","\u002Fblog\u002Fcovers\u002Flinux-noyau-cve-2026-98432-use-after-free-tcp-ipv4-verifier-corriger-poster.svg","CVE-2026-98432 est un use-after-free dans la pile TCP IPv4 du noyau Linux, publié par Ubuntu le 15 octobre 2026 et mis à jour le 29 octobre 2026. À la consultation, le 30 octobre 2026, les fiches Ubuntu et Red Hat ne donnent aucune version corrigée confirmée pour les noyaux courants, et deux scores circulent : 9,8 et 8,1. Ce guide ne promet donc pas un numéro de paquet. Il montre comment lire l'état de votre distribution, distinguer le noyau installé du noyau en cours, et décider quoi faire d'ici là.",[35,39,42,76,79,101,111,114,118,121],{"type":36,"title":37,"body":38},"h2","Ce que décrit la fiche, fonction par fonction","La fiche Ubuntu décrit un défaut de gestion mémoire dans l'établissement des connexions TCP en IPv4. Quand un client envoie un SYN, le noyau crée une requête de connexion ; à la fin de la poignée de main, `tcp_v4_syn_recv_sock()` crée la socket fille. Selon la fiche, cette fonction transmet à la socket fille les options IP de la requête sans les copier. Si un SYN retransmis est traité au même moment sur un autre processeur, le noyau peut relire ces options déjà libérées en construisant le SYNACK : c'est l'utilisation après libération, dans `ip_options_build()`.\n\nLa fiche signale une course analogue lors de la migration des requêtes entre sockets, quand `net.ipv4.tcp_migrate_req=1` ou qu'un programme BPF_SK_REUSEPORT_SELECT_OR_MIGRATE est en place. Le correctif décrit retarde la libération de la mémoire jusqu'à la fin d'une période de grâce RCU, avec `kfree_rcu()`, dans `inet_sock_destruct()` et `tcp_v4_reqsk_destructor()`. IPv6 n'est pas touché par le premier défaut ; la fiche indique qu'un défaut de migration semblable existe de ce côté et sera traité séparément. Retenez aussi ce qu'elle ne dit pas : l'exploitabilité à distance n'est pas démontrée publiquement dans les fiches lues.",{"type":36,"title":40,"body":41},"Deux scores, deux émetteurs : 9,8 et 8,1","Les deux chiffres ne se contredisent pas, ils décrivent des choses différentes. Ubuntu affiche une priorité High et un score CVSS 3 de 9,8, qualifié de Critical. Red Hat publie un CVSS v3.1 de 8,1, avec le vecteur `CVSS:3.1\u002FAV:N\u002FAC:H\u002FPR:N\u002FUI:N\u002FS:U\u002FC:H\u002FI:H\u002FA:H`. La page Red Hat donne aussi, pour comparaison, la valeur de cve.org : 9,8 avec `AC:L`. Seule la complexité d'attaque change : faible (`AC:L`) d'un côté, élevée (`AC:H`) de l'autre.\n\nLe 8,1 de Red Hat traduit une course à timing serré, où l'attaquant doit faire coïncider deux traitements sur deux processeurs ; sa description parle d'abord d'un plantage, avec une corruption de mémoire possible. La page précise que ces scores sont préliminaires et sujets à révision. Ne retenez donc pas un chiffre unique : 9,8 selon Ubuntu, 8,1 selon Red Hat. Dans les vecteurs publiés par Red Hat et cve.org, la faille est atteignable par le réseau sans authentification (`AV:N`, `PR:N`), ce qui suffit à la traiter sérieusement sans la présenter comme une attaque en cours : aucune des deux fiches lues n'en signale.",{"type":43,"title":44,"headers":45,"rows":49},"comparison","L'état publié au 30 octobre 2026",[46,47,48],"Source ou version","État lu sur la fiche","Ce que cela change pour vous",[50,54,57,60,64,68,72],[51,52,53],"Ubuntu 24.04 LTS (noble)","Vulnerable, correctif en cours ; version listée 6.8.0-149.149","Aucun noyau corrigé à installer pour l'instant",[55,56,53],"Ubuntu 22.04 LTS (jammy)","Vulnerable, correctif en cours ; version listée 5.15.0-203.213",[58,59,53],"Ubuntu 26.04 LTS","Vulnerable, correctif en cours ; version listée 7.0.0-43.43",[61,62,63],"Ubuntu 20.04 LTS (focal)","Aucune version listée ; statut à relire sur la fiche","Rouvrir la fiche avant toute conclusion",[65,66,67],"Red Hat","CVSS v3.1 8,1, aucune mitigation proposée, aucun paquet corrigé listé, Bugzilla 2553390","Pas de contournement officiel ; suivre le ticket",[69,70,71],"Debian, AlmaLinux, Rocky et autres","Non lu pour cet article","Lire l'avis de votre éditeur, sans déduire depuis Ubuntu",[73,74,75],"Un numéro de version sur une fiche","Ce n'est pas une version corrigée tant que le statut n'est pas passé à corrigé","Ne comparez `uname -r` à ce numéro qu'après ce changement de statut",{"type":36,"title":77,"body":78},"Un noyau installé n'est pas un noyau en cours","Un `apt upgrade` ou un `dnf update` dépose un nouveau noyau dans `\u002Fboot`, mais le système continue d'exécuter celui chargé au dernier démarrage, jusqu'au redémarrage. `uname -r` répond à la seule question qui compte ici : quel noyau tourne maintenant. La liste des paquets répond à une autre : quels noyaux dorment sur le disque. Quand le correctif sortira, un VPS peut donc afficher « à jour » dans son gestionnaire de paquets et rester vulnérable des semaines.\n\nL'inverse vaut aujourd'hui : installer les mises à jour du jour ne corrige pas cette CVE, puisque les fiches ne listent pas de noyau corrigé. Les conteneurs Docker ne changent rien, ils partagent le noyau de la machine. Sur une machine virtuelle complète, ce noyau est le vôtre ; sur un VPS de type conteneur, c'est celui de l'hôte, qu'il faut alors demander à l'hébergeur. La procédure de redémarrage elle-même est détaillée dans le guide PwnEscape et Vghost lié sous cet article : inutile de la répéter ici.",{"type":80,"title":81,"steps":82},"steps","Vérifier votre VPS en dix minutes",[83,86,89,92,95,98],{"title":84,"body":85},"Relever le noyau en cours","`uname -r`\n`cat \u002Fproc\u002Fversion`\nNotez la chaîne complète, suffixe compris (`-generic`, `-aws`, `-kvm`, `el9`…). C'est elle que vous comparerez à la fiche de votre distribution, et le suffixe indique la variante de noyau à chercher.",{"title":87,"body":88},"Lister les noyaux installés et le redémarrage en attente","Debian, Ubuntu : `dpkg -l 'linux-image*' | grep '^ii'` puis `ls \u002Fvar\u002Frun\u002Freboot-required`\nRHEL, AlmaLinux, Rocky : `rpm -q kernel` puis `sudo needs-restarting -r`\nSi le noyau le plus récent installé diffère de celui de `uname -r`, un redémarrage est en attente.",{"title":90,"body":91},"Chercher un correctif publié","Debian, Ubuntu : `sudo apt update` puis `apt list --upgradable 'linux-image*'`\nRHEL, AlmaLinux, Rocky : `sudo dnf updateinfo list --cve CVE-2026-98432` puis `sudo dnf check-update kernel`\nUne liste vide ne prouve pas que vous êtes protégé : elle dit seulement que votre dépôt ne propose rien pour l'instant.",{"title":93,"body":94},"Lire ce que le paquet candidat annonce","Debian, Ubuntu : `apt changelog \u003Cpaquet-listé-à-l-étape-précédente> | grep -n 'CVE-2026-98432'`\nRHEL, AlmaLinux, Rocky : `sudo dnf updateinfo info --cve CVE-2026-98432`\nSi l'identifiant apparaît, le paquet annonce le correctif ; relevez alors son numéro de version et confirmez-le sur la fiche de votre distribution avant de conclure.",{"title":96,"body":97},"Lire l'exposition réseau","`sudo ss -4tlnp`\n`sysctl net.ipv4.tcp_migrate_req`\nLa première commande liste les ports TCP IPv4 en écoute, donc les seuls endroits où une poignée de main TCP arrive ; c'est notre lecture de la fiche, pas une affirmation de celle-ci. La seconde affiche l'état du réglage de migration (`0` ou `1`). Ce réglage ne ferme pas la faille : le premier défaut décrit existe sans lui.",{"title":99,"body":100},"Rouvrir la fiche le jour de la décision","Ouvrez la fiche de votre distribution, relevez le statut de votre variante de noyau et la date de dernière mise à jour affichée. Notez-les avec la date de lecture : ces pages bougent, et un état lu il y a trois jours n'est pas l'état d'aujourd'hui.",{"type":102,"title":103,"items":104},"ul","Agir sans correctif confirmé",[105,106,107,108,109,110],"**Fermer ce qui n'a pas à être joint** — chaque port TCP IPv4 ouvert à tout Internet est une entrée possible. Restreignez SSH, bases de données et administration aux adresses utiles avec `ufw` ou `firewalld`. Cela réduit la surface, sans corriger un port public comme le 443.","**Ne pas compter sur un contournement** — Red Hat n'en propose aucun, et la partie lue de la fiche Ubuntu n'en liste pas. Passer `net.ipv4.tcp_migrate_req` à `0` ne couvre pas le premier défaut décrit.","**Préparer la fenêtre de redémarrage** — choisissez le créneau, prévenez les utilisateurs, vérifiez que vos services redémarrent seuls (`systemctl is-enabled \u003Cservice>`) et faites une sauvegarde ou un instantané avant.","**Détecter le correctif dès sa publication** — lancez chaque jour `apt list --upgradable 'linux-image*'` ou `dnf check-update kernel`, ou relisez la fiche. Selon sa configuration, la mise à jour automatique installe le noyau sans redémarrer.","**Garder un accès de secours** — repérez la console d'urgence de votre hébergeur avant le redémarrage, pas pendant : un noyau qui ne remonte pas se règle depuis là.","**Surveiller les plantages** — Red Hat décrit surtout un plantage. `journalctl -k -p err --since '7 days ago'` et `last -x reboot` montrent un redémarrage ou un message noyau inhabituel à rapprocher de la date de publication.",{"type":36,"title":112,"body":113},"Livepatch : une option, à une condition","Un correctif à chaud applique un patch au noyau en cours, sans redémarrage. Il n'existe qu'une fois produit par l'éditeur ou par le fournisseur du service, et il ne couvre que les CVE que celui-ci a traitées. Avec le service Livepatch de Canonical, `canonical-livepatch status --verbose` indique les correctifs appliqués ; sur d'autres distributions, des services tiers comme KernelCare jouent ce rôle. La règle est la même partout : tant que l'identifiant CVE-2026-98432 n'apparaît pas dans la liste des correctifs appliqués, vous n'êtes pas couvert, même si le service est affiché comme actif.\n\nAucune des fiches lues ne mentionne de livepatch pour cette CVE à la date de consultation. Et un livepatch ne dispense pas du noyau suivant : prévoyez quand même le redémarrage vers la version corrigée, au créneau que vous aurez choisi.",{"type":115,"title":116,"body":117},"tip","Écrire la date, pas seulement l'état","Dans votre carnet d'exploitation, notez pour chaque serveur le noyau en cours, le statut lu sur la fiche et la date de lecture. Dans ce guide, l'état décrit est celui du 30 octobre 2026 ; il a pu changer quand vous le lisez. Ce guide est fourni tel quel : l'administration de votre serveur reste de votre ressort, sans prise en charge de notre part.",{"type":36,"title":119,"body":120},"Le jour où un noyau corrigé apparaît","Lisez d'abord la fiche : le statut de votre variante doit être passé à corrigé et indiquer un numéro de version. La fiche Ubuntu ne liste pas un seul paquet mais plusieurs (`linux`, `linux-aws`, `linux-azure`, `linux-gcp`…) : suivez la ligne qui correspond au suffixe affiché par `uname -r`, pas la ligne du paquet `linux` par défaut.\n\nInstallez ensuite avec `sudo apt upgrade` (Debian, Ubuntu) ou `sudo dnf upgrade kernel` (RHEL, AlmaLinux, Rocky), redémarrez avec `sudo reboot`, puis vérifiez avec `uname -r` que la chaîne en cours correspond au noyau corrigé annoncé. Si elle correspond encore à l'ancien, le redémarrage n'a pas basculé sur le nouveau noyau : regardez l'entrée de démarrage par défaut avant de déclarer le serveur corrigé. Inscrivez enfin le numéro installé dans votre carnet.",{"type":36,"title":122,"body":123},"La documentation officielle","Fiche Ubuntu de CVE-2026-98432 (publiée le 15 octobre 2026, mise à jour le 29 octobre 2026): https:\u002F\u002Fubuntu.com\u002Fsecurity\u002FCVE-2026-98432\n\nFiche Red Hat de CVE-2026-98432 (CVSS 8,1, Bugzilla 2553390): https:\u002F\u002Faccess.redhat.com\u002Fsecurity\u002Fcve\u002FCVE-2026-98432\n\nLes deux fiches ont été consultées le 30 octobre 2026 ; elles peuvent avoir changé depuis.","Le root pour poser le noyau corrigé au bon moment","Sur un VPS ServOrbit.com, vous avez le root : vous installez le noyau corrigé dès que votre distribution le publie et vous choisissez l'heure du redémarrage. L'option administration VPS existe pour qui préfère ne pas le faire seul ; elle s'ajoute, elle n'est pas incluse.","Voir les VPS cloud","\u002Fvps-cloud",[129,145,161],{"id":130,"slug":131,"slugs":132,"title":136,"excerpt":137,"readTime":138,"views":18,"isPinned":19,"publishedAt":139,"updatedAt":140,"category":141,"categories":142,"featuredImage":30,"bgImage":31,"posterImage":144,"relatedSolution":30},517,"pwnescape-vghost-noyau-linux-vps-mettre-a-jour",{"fr":131,"en":133,"ar":134,"es":135},"pwnescape-vghost-linux-kernel-vps-update","ثغرتا-pwnescape-و-vghost-تحديث-نواة-لينكس-على-vps","pwnescape-vghost-kernel-linux-vps-actualizar","PwnEscape et Vghost : mettre à jour le noyau Linux d'un VPS","Deux failles noyau Linux d'octobre 2026 : PwnEscape se corrige chez l'hébergeur, Vghost sur votre VPS. Vérifier le noyau, mettre à jour, planifier le redémarrage.",11,"2026-10-28T00:00:00+00:00","2026-10-29T03:10:22+00:00",{"id":23,"name":24,"slug":25,"color":26,"icon":27},[143],{"id":23,"name":24,"slug":25,"color":26,"icon":27},"\u002Fblog\u002Fcovers\u002Fpwnescape-vghost-noyau-linux-vps-mettre-a-jour-poster.svg",{"id":146,"slug":147,"slugs":148,"title":152,"excerpt":153,"readTime":154,"views":18,"isPinned":19,"publishedAt":155,"updatedAt":156,"category":157,"categories":158,"featuredImage":30,"bgImage":31,"posterImage":160,"relatedSolution":30},524,"fragnesia-cve-2026-46300-noyau-linux-php2shell",{"fr":147,"en":149,"ar":150,"es":151},"fragnesia-cve-2026-46300-linux-kernel-php2shell","ثغرة-fragnesia-cve-2026-46300-نواة-لينكس-php2shell","fragnesia-cve-2026-46300-kernel-linux-php2shell","Fragnesia CVE-2026-46300 : patcher le noyau (PHP2Shell)","Fragnesia (CVE-2026-46300), enchaînée avec PHP2Shell, mène à root. Noyaux corrigés par distribution, parade esp4\u002Fesp6\u002Frxrpc, vérification et traces.",10,"2026-10-29T00:00:00+00:00","2026-10-29T15:45:55+00:00",{"id":23,"name":24,"slug":25,"color":26,"icon":27},[159],{"id":23,"name":24,"slug":25,"color":26,"icon":27},"\u002Fblog\u002Fcovers\u002Ffragnesia-cve-2026-46300-noyau-linux-php2shell-poster.svg",{"id":162,"slug":163,"slugs":164,"title":168,"excerpt":169,"readTime":17,"views":18,"isPinned":19,"publishedAt":139,"updatedAt":140,"category":170,"categories":174,"featuredImage":30,"bgImage":31,"posterImage":176,"relatedSolution":30},519,"exim-dovecot-correctifs-serveur-mail-vps-verifier-version",{"fr":163,"en":165,"ar":166,"es":167},"exim-dovecot-patches-mail-server-vps-check-version","exim-dovecot-تصحيحات-خادم-البريد-vps-التحقق-من-الإصدار","exim-dovecot-correcciones-servidor-correo-vps-comprobar-version","Exim, Dovecot : vérifier qu'un paquet est vraiment corrigé","Exim 4.97 peut être corrigé alors que le correctif amont est 4.100.1. Lisez le changelog du paquet, testez l'exposition, redémarrez, contrôlez les traces.",{"id":138,"name":171,"slug":172,"color":173,"icon":172},"E-mail professionnel","emails","bg-cyan-500\u002F10 text-cyan-400",[175],{"id":138,"name":171,"slug":172,"color":173,"icon":172},"\u002Fblog\u002Fcovers\u002Fexim-dovecot-correctifs-serveur-mail-vps-verifier-version-poster.svg",1793414161121]