Une simple erreur de syntaxe, réduite à un unique caractère dans le code du noyau Linux, est à l’origine d’une faille de sécurité : CVE-2026-23111. En l’exploitant, un attaquant local peut élever ses privilèges en tant que root sur une machine Linux. Voici l’essentiel à savoir sur cette vulnérabilité.

Un seul caractère à l’origine de la faille de sécurité

C’est un petit détail, mais il a son importance : un seul caractère mal placé et voilà une vulnérabilité présente dans le noyau Linux. Celle-ci se situe au sein du module de filtrage réseau nftables du noyau Linux ( ). Il s’agit d’une vulnérabilité de type use-after-free (utilisation de la mémoire après sa libération) qui découle d’une vérification inversée causée par la présence, de ce que l’on pourrait appeler, un caractère parasite.

Associée à la référence CVE-2026-23111 et à un score CVSS de 7.8 sur 10, elle permet à un attaquant local d’élever ses privilèges en tant que root. Autrement dit, si un attaquant dispose déjà d’un accès en tant qu’utilisateur à une machine (obtenu via une autre faille, par exemple), il peut devenir root en exploitant celle-ci.

En réalité, cette faille de sécurité a été découverte en 2025 par Oliver Sieber d’Exodus Intelligence. En s’appuyant sur cette faille de sécurité, il a pu concevoir un exploit pour déclencher ce fameux use-after-free, pour ensuite contourner les protections mémoire intégrées du noyau Linux. En bout de chaîne, cela permet de s’échapper de l’espace de noms du conteneur grâce aux privilèges root.

Présente par défaut sur la majorité des distributions Linux, la fonction d’unprivileged user namespaces permet à un compte ordinaire d’agir comme root au sein d’une sandbox privée, lui donnant accès à du code noyau normalement inaccessible.

Voici la chronologie associée à cette vulnérabilité, ce qui permet de mieux comprendre pourquoi elle fait parler d’elle que maintenant.

• 5 février 2026 : publication du correctif upstream dans le noyau Linux (voir cette page).
• 16 avril 2026 : le laboratoire FuzzingLabs publie sa propre reproduction indépendante de la faille testée sur RHEL 10, élaborée en amont du concours Pwn2Own Berlin 2026 via une méthode différente.
• 8 juin 2026 : Exodus Intelligence publie son analyse technique détaillée.

D’ailleurs, le correctif intégré au noyau Linux montre bien que le patch de sécurité tient en une seule ligne, simplement en supprimant le caractère pour inverser le test effectué par la structure .

Comment se protéger de la CVE-2026-23111 ?

Le chercheur a démontré l’efficacité de sa méthode sur plusieurs systèmes : Debian 12 Bookworm, Debian 13 Trixie, Ubuntu 22.04 LTS et Ubuntu 24.04 LTS. Tous vulnérables, mais ils ont aussi tous le droit à un patch de sécurité pour cette vulnérabilité.

En effet, des correctifs sont disponibles pour Ubuntu (versions 22.04, 24.04 et 25.10) ainsi que pour Debian (Bookworm et Trixie, avec un rétroportage vers la version 6.1 pour Bullseye LTS). La version exacte où le patch a été intégré peut varier d’une distribution et d’une version à une autre, donc consultez les bulletins de sécurité correspondant à celle que vous utilisez.

Par exemple, pour Debian 13, cette vulnérabilité a été patchée dans les versions 6.12.86-1 et 6.12.90-2 du noyau Linux (voir cette page).

Bien que la situation soit moins urgente avec cette faille de sécurité, celle-ci s’inscrit dans une série noire pour le noyau Linux. Ces dernières semaines, plusieurs failles permettant une élévation de privilèges en local ont été dévoilées, notamment DirtyDecrypt et Fragnesia.

Source