Une grave vulnérabilité découverte dans le noyau Linux a mis la communauté Lightning Network en alerte. Cette faille, jugée critique à 9,8 sur 10, permet potentiellement l'exécution de code à distance en tant que superutilisateur sur les systèmes où le protocole TCP multipath est activé, ce qui affecte directement les serveurs hébergeant des nœuds LND exposés à Internet.
Face à ce scénario, les développeurs d'infrastructure ont réagi en urgence en publiant des versions correctives visant à fermer la voie d'exploitation, tandis que les administrateurs système ont appliqué des correctifs au niveau du système d'exploitation pour protéger leur environnement.
L'origine de la vulnérabilité réside dans le noyau Linux.
La faille de sécurité identifiée comme La vulnérabilité CVE-2026-98432 a été signalée par Matt Corallo le 30 octobre.Cette vulnérabilité a révélé une faille de type « use-after-free » dans le code de négociation TCP IPv4 du noyau Linux. Le système CVSS (Common Vulnerabilities Scoring System) a évalué sa gravité à 9,8 sur 10, la plaçant parmi les vulnérabilités les plus critiques signalées ces dernières années.
L'équipe rouge Frontier d'Anthropic a démontré que cette vulnérabilité pouvait être exploitée pour créer un chemin d'exécution à distance avec privilèges root lorsqu'une machine maintenait un écouteur actif via Multipath TCP (MPTCP). Cette technologie permet à une connexion réseau d'utiliser simultanément plusieurs chemins physiques afin d'améliorer la résilience et la bande passante, mais son implémentation de bas niveau au niveau du noyau présentait cette faille critique.
L'avertissement public a suscité une réaction immédiate de la part des experts techniques de l'écosystème, notamment Peter Todd, qui a recommandé d'arrêter temporairement les nœuds exécutant des logiciels vulnérables dans les environnements comportant des ports ouverts, jusqu'à ce que le système d'exploitation reçoive la mise à jour correspondante. Si vous souhaitez comprendre les fondements technologiques sur lesquels fonctionnent ces infrastructures décentralisées, dans Académie Bit2Me Vous avez accès à des guides détaillés sur l'architecture des nœuds et la validation du réseau.
Comment la panne affecte les nœuds du réseau Lightning
Le lien entre cette vulnérabilité du système d'exploitation et les opérateurs d'infrastructure réside dans le langage de programmation et la configuration réseau. Le client LND de Lightning Labs est développé en Go. À partir de la version 1.24 de Go, le compilateur active par défaut la prise en charge de MPTCP, à condition que le noyau hôte prenne en charge cette fonctionnalité.
Du fait de cette configuration par défaut, les versions récentes de LND restaient à l'écoute via MPTCP sur leurs ports de communication pair à pair ainsi que sur leurs interfaces gRPC et REST. Tout serveur Linux directement exposé à Internet avec ces ports ouverts était, en théorie, vulnérable aux tentatives d'accès non autorisé disposant de privilèges d'administrateur système.
Le protocole de seconde couche de Bitcoin traite les transactions instantanées via des canaux de paiement acheminés. Maintenir un nœud opérationnel à haute disponibilité nécessite d'exposer des interfaces réseau à d'autres participants, ce qui place ces serveurs à la périphérie des attaques si le système sous-jacent n'est pas correctement protégé contre les défaillances réseau du noyau.
Mesures d'atténuation immédiates dans le LND
En réponse au rapport des chercheurs, Lightning Labs a publié deux versions d'urgence le 30 octobre : lnd v0.21.6-beta et backport v0.20.7-beta. Ces deux mises à jour désactivent par défaut les écouteurs MPTCP dans le logiciel du nœud, bloquant ainsi directement le vecteur d'attaque mis en évidence par les analystes de sécurité.
Les développeurs du projet ont clairement indiqué que ces nouvelles versions constituent une mesure d'atténuation ciblée et non une solution définitive à la vulnérabilité sous-jacente. Si la machine concernée exécute d'autres programmes ou services acceptant les connexions via MPTCP, le serveur reste exposé jusqu'à ce que ce protocole soit désactivé à l'échelle du système ou que le noyau Linux soit mis à jour vers une version sécurisée.
Olaoluwa Osuntokun et les comptes officiels de l'équipe technique recommandent tous deux de mettre à jour le logiciel du nœud au plus vite. Les utilisateurs qui gèrent leurs opérations via des solutions de conservation institutionnelle ou des interfaces intégrées doivent garder à l'esprit que la sécurité de l'écosystème repose sur la mise à jour coordonnée de l'ensemble de l'infrastructure technique.
Réponse des distributions et analyses du réseau
Le rythme de distribution des correctifs variait considérablement selon la distribution Linux utilisée. Red Hat a publié des correctifs pour RHEL 8, 9 et 10 le 1er novembre, tandis que des distributions comme Debian et Amazon Linux avaient déjà fourni des mises à jour à leurs utilisateurs. Dans le cas d'Ubuntu, Canonical a mis à disposition des paquets corrigés dans le dépôt optionnel pour les versions 22.04, 24.04 et 26.04, en attendant leur diffusion sur les canaux principaux.
Dans le domaine des distributions spécialisées pour les nœuds domestiques, UmbrelOS a publié sa version 2.0.1 le 1er novembre, intégrant le noyau corrigé sur les appareils dotés de processeurs x86 et implémentant le blocage du trafic au niveau du réseau pour les cartes Raspberry Pi, où le noyau mis à jour nécessitait des temps de compilation supplémentaires.
L'urgence de ces mesures a été confirmée par l'analyse du chercheur en sécurité Marcus Hutchins, qui a détecté des campagnes mondiales de balayage d'Internet à la recherche de serveurs vulnérables. Selon ses relevés, environ 2,1 millions de machines étaient accessibles via MPTCP sur le port 443 début novembre, confirmant ainsi que des acteurs malveillants sondent automatiquement les adresses IP publiques exposées.
Recommandations opérationnelles pour les administrateurs système
Malgré des analyses de réseau approfondies, les agences de cybersécurité ont confirmé qu'aucune exploitation réussie n'a été détectée en production et que la vulnérabilité n'a pas été ajoutée au catalogue des vulnérabilités connues de la CISA. De plus, les détails complets de l'exploit développé par Anthropic restent confidentiels afin de protéger les systèmes accessibles au public.
Le risque pratique se concentre sur les machines disposant d'une adresse IP publique directe et d'interfaces d'écoute active. À l'inverse, les ordinateurs de bureau classiques ou les nœuds domestiques situés derrière un routeur doté d'un pare-feu standard et d'une fonction de traduction d'adresses réseau (NAT) ne présentent pas de vulnérabilité face à ces attaques externes directes.
Pour protéger correctement un serveur Linux qui prend en charge une infrastructure de paiement ou des services Web, les administrateurs doivent suivre trois étapes prioritaires :
- Mettez à jour les paquets du système d'exploitation à l'aide des gestionnaires officiels afin d'installer la dernière version stable du noyau.
- Désactivez MPTCP au niveau sysctl s'il n'est pas expressément requis dans les services de production.
- Installez les versions mises à jour de LND v0.21.6-beta ou v0.20.7-beta pour fermer le vecteur dans le logiciel Lightning.
Questions fréquentes
Qu’est-ce que la vulnérabilité CVE-2026-98432 sous Linux ?
Il s'agit d'une vulnérabilité critique d'utilisation après libération (use-after-free) située dans la gestion des connexions TCP IPv4 du noyau Linux. Avec un score CVSS de 9,8, elle permet, sous certaines conditions, l'exécution de code à distance avec des privilèges élevés sur des machines utilisant le protocole TCP multipath.
Mes fonds liés au nœud Lightning sont-ils à risque ?
Cette faille n'affecte ni le chiffrement de Bitcoin ni les règles de son protocole monétaire. Toutefois, si un attaquant parvient à prendre le contrôle du système d'exploitation d'un serveur distant grâce à ce type de vulnérabilité, il pourrait compromettre les clés privées stockées sur le nœud si l'équipe de sécurité ne met pas en œuvre les mesures d'atténuation appropriées.
La mise à jour de LND est-elle suffisante pour protéger le serveur ?
Non. La mise à jour LND élimine la faille de sécurité qui exploitait les ports du nœud Lightning pour interagir avec MPTCP, mais le noyau Linux restera vulnérable si d'autres programmes maintiennent des services d'écoute actifs sur la machine. La mise à jour du noyau du système d'exploitation est donc essentielle.
Une coordination technique rapide entre chercheurs indépendants et développeurs d'infrastructures ouvertes a permis d'atténuer l'une des vulnérabilités réseau les plus complexes identifiées ces dernières années. La mise à jour régulière des logiciels applicatifs et du système d'exploitation sous-jacent demeure essentielle à la sécurité et à la résilience du réseau.
L'investissement en cryptoactifs n'est pas entièrement réglementé, peut ne pas convenir aux investisseurs particuliers en raison de la forte volatilité et il existe un risque de perdre tous les montants investis.
Des outils d'intelligence artificielle générative ont été utilisés pour créer cet article.
