Sommaire
Elle s’appelle PwnEscape et elle fait froid dans le dos. Une faille dans le code réseau du noyau Linux (CVE-2026-99999, score CVSS de 9,3) permet à un logiciel tournant à l’intérieur d’une machine virtuelle de lire la mémoire du serveur physique qui l’héberge. Découverte lors du défi « sandbox » à 1 million de dollars lancé par Vercel, elle a été démontrée contre des sandboxes de production : deux paquets suffiraient même, dans certaines configurations, à faire planter l’hôte.
Bonne nouvelle : les correctifs sont sortis. Des noyaux corrigés pour les sept branches maintenues ont été publiés le 15 octobre. Mais attention, pour les hébergeurs qui vendent des serveurs virtuels (KVM, Firecracker), le patch doit être appliqué sur le noyau de l’hôte, pas à l’intérieur des machines des clients. Les chercheurs s’attendent à voir des exploits dans les semaines qui viennent.
Lento dit : Votre VPS est aussi solide que le noyau de l’hébergeur qui est en dessous. Si votre hébergeur tarde à patcher ses hôtes, le voisin de palier peut théoriquement lire la mémoire de la machine. Vérifiez que votre hébergeur a communiqué sur le sujet — et s’il n’a rien dit, posez la question.
