CVE-2026-46300 : une vulnérabilité du noyau Linux inscrite au catalogue CISA KEV

CVE-2026-46300 : une vulnérabilité du noyau Linux inscrite au catalogue CISA KEV

En bref

CVE-2026-46300 est une vulnérabilité du noyau Linux, publiée le 23 mai 2026, avec un score CVSS de 7.8 (sévérité élevée) [1]. Elle est inscrite au catalogue CISA KEV des vulnérabilités exploitées connues [2]. Elle affecte les systèmes basés sur Linux, y compris les environnements Red Hat et Siemens [1]. Si votre entreprise exploite des serveurs, des équipements réseau ou des dispositifs industriels fonctionnant sous Linux, ce qu'il faut faire aujourd'hui est d'identifier quelles versions de noyau vous avez en production et de prioriser la mise à jour dès que le correctif sera disponible pour votre distribution.

Ce que c'est et pourquoi c'est important

La faille se trouve dans la gestion interne des paquets réseau du noyau Linux, plus précisément dans la fonction qui fusionne (coalesce) des fragments de données en mémoire lors du traitement du trafic [1]. Selon la description officielle, lorsque le noyau fusionne des fragments marqués comme « partagés » (shared-frag) provenant de buffers réseau, ce marqueur peut être perdu pendant la fusion [1]. Cela compromet une vérification utilisée par des routines ultérieures, en particulier le traitement ESP (le composant d'IPsec qui chiffre et déchiffre le trafic), pour décider s'il est possible d'écrire sur ces données sans les copier au préalable [1]. Le résultat est que, dans certaines circonstances, le système pourrait finir par modifier sur place des données adossées au cache de pages du système lui-même, au lieu de les traiter comme des données externes qui ne doivent pas être touchées directement [1].

Il s'agit d'un problème d'intégrité des données au niveau du noyau, et non d'un simple défaut applicatif : il affecte une couche commune à pratiquement tout service s'exécutant sur Linux et utilisant un chiffrement réseau de type IPsec/ESP. Le radar de renseignement d'OCIRIA classe cette vulnérabilité dans la catégorie « Noyau Linux » et lui attribue une évaluation interne de sévérité critique, supérieure à la qualification « élevée » du NVD, précisément en raison de sa portée potentielle dans les environnements de production qui dépendent de ce type de chiffrement réseau.

Qui est concerné

Les fabricants/projets identifiés jusqu'à présent sont Linux (le projet du noyau), Red Hat et Siemens [1]. En pratique, cela peut concerner toute organisation exploitant des serveurs, routeurs, répartiteurs de charge, pare-feux ou dispositifs industriels basés sur Linux, en particulier ceux qui utilisent IPsec/ESP pour chiffrer les communications entre sites, avec des fournisseurs ou entre composants internes. Ce n'est pas un problème limité à un seul produit commercial : s'agissant du noyau, son impact dépend de la distribution, de la version et de la configuration réseau propres à chaque équipement.

Comment savoir si vous êtes vulnérable

Toutes les versions du noyau Linux ne sont pas nécessairement affectées de la même manière, et la structure de données vérifiée ne comprend pas de liste fermée de versions précises ; il est donc prudent de vérifier cas par cas dans votre inventaire :

• Vérifiez quelle version de noyau exécute chaque serveur, pare-feu ou dispositif Linux, en particulier ceux qui gèrent du trafic chiffré avec IPsec/ESP.
• Consultez le bulletin de sécurité de votre distribution (Red Hat ou autre) pour confirmer si votre version précise est affectée et si un correctif existe déjà [1].
• Si vous utilisez des équipements Siemens fonctionnant sous Linux embarqué, consultez les avis de sécurité du fabricant pour cette gamme de produits [1].
• Vérifiez également votre surface d'exposition : quels services avec des composants Linux sont visibles depuis l'extérieur du réseau interne, car cela conditionne le degré d'urgence à agir dans chaque cas.

Comment vous protéger

1. Faites d'abord l'inventaire : identifiez tous les systèmes Linux en production et leur version de noyau avant de décider quoi que ce soit.

2. Priorisez le correctif : appliquez les mises à jour de sécurité du noyau dès qu'elles sont disponibles pour votre distribution, en suivant la recommandation d'auditer les versions et de corriger sans délai.

3. Vérifiez la configuration IPsec/ESP : si votre organisation dépend de VPN ou de chiffrement réseau basé sur IPsec, confirmez avec votre équipe d'infrastructure si le trafic passe par des chemins de code affectés par cette faille.

4. Segmentez et limitez l'exposition : en attendant le déploiement du correctif, réduisez l'exposition des systèmes les plus critiques aux réseaux non fiables.

5. Surveillez les avis officiels : suivez les bulletins de votre distribution Linux et, le cas échéant, de Siemens, car les correctifs concrets peuvent être publiés de manière échelonnée.

Questions fréquentes

Est-ce une vulnérabilité nouvelle ? Elle a été publiée le 23 mai 2026 [1].

Est-elle activement exploitée ? Elle figure au catalogue CISA KEV, qui n'inclut que des vulnérabilités pour lesquelles CISA dispose de preuves d'exploitation [2].

Quelle est sa gravité ? Le NVD la qualifie de sévérité élevée, avec un CVSS de 7.8 [1] ; le radar interne d'OCIRIA l'évalue comme critique en raison de sa portée sur les infrastructures de production.

Affecte-t-elle uniquement les serveurs Linux « purs » ? Pas nécessairement : des environnements Red Hat et des équipements Siemens ont également été identifiés comme affectés [1], il convient donc de vérifier aussi les dispositifs industriels ou embarqués basés sur Linux.

Que dois-je faire si je ne sais pas si je suis concerné ? Commencez par l'inventaire des versions de noyau et consultez les bulletins officiels de votre distribution ; c'est la méthode la plus fiable pour confirmer si un système donné nécessite un correctif.

Sources

• [1] https://nvd.nist.gov/vuln/detail/CVE-2026-46300
• [2] https://raw.githubusercontent.com/cisagov/kev-data/develop/known_exploited_vulnerabilities.json