La faille « Bad Epoll » de Linux peut permettre à des utilisateurs locaux d’obtenir les privilèges root sur des systèmes de bureau, des serveurs et des appareils Android

Une vulnérabilité récemment révélée du noyau Linux, surnommée Bad Epoll, pourrait permettre à un utilisateur local non privilégié d’obtenir un accès root sur les systèmes concernés, selon une analyse de recherche publiée. La faille est suivie sous la référence CVE-2026-46242 et affecte les distributions Linux, les serveurs, les ordinateurs de bureau et certains appareils Android.

Le problème se situe dans epoll, un mécanisme essentiel de Linux utilisé par les applications pour surveiller simultanément de nombreux descripteurs de fichiers ou connexions réseau. Comme epoll est largement utilisé par les navigateurs, les services et les logiciels serveurs, il ne peut pas simplement être désactivé comme mesure de contournement.

Le chercheur en sécurité Jaeyoung Chung a identifié la faille et démontré un exploit fonctionnel. La vulnérabilité est une condition de type use-after-free, ce qui signifie qu’une partie du noyau peut libérer une zone mémoire tandis qu’une autre tente encore d’y accéder. Si un attaquant parvient à influencer ce timing, il peut être en mesure de corrompre la mémoire du noyau et d’élever ses privilèges jusqu’au niveau root.

Bien que la faille soit grave, son exploitation n’est pas triviale. Chung a indiqué que la fenêtre temporelle était extrêmement réduite, mais que la preuve de concept améliorait la fiabilité en répétant l’attaque d’une manière qui évite les plantages. Lors des tests, l’exploit aurait réussi la plupart du temps. Chung a également précisé que la faille pouvait être déclenchée depuis le bac à sable du moteur de rendu de Chrome et qu’elle pouvait affecter Android, ce qui accroît son impact potentiel.

Le problème semble découler d’une modification apportée au code d’epoll en 2023. Chung a indiqué qu’une première faille connexe dans la même zone avait déjà été découverte par le modèle Mythos d’Anthropic, mais que ce second problème était passé inaperçu. Au moment de la publication, aucun signe d’exploitation dans la nature n’avait été observé et la faille ne figurait pas dans le catalogue des vulnérabilités exploitées connues de la CISA.

Ce que doivent faire les utilisateurs et les administrateurs

• Appliquez le correctif amont a6dc643c6931 ou attendez le rétroportage fourni par votre éditeur.
• Vérifiez si votre noyau est basé sur Linux 6.4 ou une version ultérieure, car ces versions sont concernées si elles ne sont pas corrigées.
• Les noyaux plus anciens basés sur la version 6.1, notamment ceux de certains appareils Android, ne sont pas concernés, car la faille a été introduite ultérieurement.

Comme epoll est une fonctionnalité fondamentale du noyau, il n’existe pas de mesure de contournement pratique au niveau de la configuration. Les systèmes qui n’ont pas encore reçu la mise à jour doivent être traités en priorité pour l’application du correctif.