Une simple session locale, un peu de patience sur une condition de course, et voilà un utilisateur lambda promu administrateur suprême. C’est le programme de Bad Epoll, référencée CVE-2026-46242, une vulnérabilité qui touche le cœur du noyau Linux et déborde jusqu’à Android. Le correctif est disponible : la seule bonne nouvelle du jour.
Points clés
- Bad Epoll (CVE-2026-46242) est un use-after-free lié à une condition de course sur epoll dans le noyau Linux
- La faille permet à un utilisateur local sans privilège d’obtenir les droits root
- Android, basé sur le noyau Linux, est également exposé
- Un correctif est disponible : la mise à jour du noyau est fortement recommandée
Une course perdue d’avance pour la mémoire
Bad Epoll est un bug de type use-after-free, autrement dit un accès à une zone mémoire déjà libérée. Le tout déclenché par une condition de course (race condition) autour du mécanisme epoll, l’interface du noyau chargée de surveiller les événements d’entrée/sortie sur de multiples descripteurs de fichiers. En jouant finement sur le timing, un utilisateur local sans privilège peut manipuler cette mémoire libérée pour exécuter du code avec les droits du noyau.
La conséquence est classique mais toujours aussi désagréable : une élévation de privilèges locale (LPE) qui fait passer un compte ordinaire au statut de root. Pas d’exécution à distance ici, il faut déjà disposer d’un accès à la machine. Maigre consolation quand on sait combien de scénarios d’attaque commencent précisément par un pied dans la porte.
Linux et Android dans le même bateau
Le noyau Linux étant la fondation d’Android, la faille ne s’arrête pas aux serveurs et aux postes de travail. Les terminaux mobiles reposant sur des versions vulnérables du noyau sont eux aussi exposés, ce qui élargit considérablement la surface d’attaque. Un bug bien planqué dans une brique aussi partagée, c’est le cauchemar récurrent de l’écosystème : une même ligne de code fautive et des milliards d’appareils concernés.
Le correctif est là, reste à l’appliquer
Un patch a été publié pour combler la vulnérabilité. Le conseil tient en un mot : mettre à jour, sans traîner. Pour les distributions Linux, cela passe par les canaux habituels de mise à jour du noyau. Pour Android, la balle est comme d’habitude dans le camp des constructeurs et de leur calendrier de déploiement, ce point faible chronique où les correctifs mettent parfois des mois à atteindre les appareils réels.
En attendant, la règle d’hygiène de base s’applique : limiter les accès locaux non maîtrisés et surveiller les comptes sans privilège, qui viennent une fois de plus de rappeler qu’ils ne sont « sans privilège » que jusqu’à la prochaine faille.
