Une ancienne vulnérabilité dans l’hyperviseur KVM met en danger les serveurs Linux selon Le Monde Informatique

Tu crois que ton hyperviseur KVM, tu peux lui faire confiance les yeux fermés ? Une vulnérabilité critique vieille de 16 ans vient de démontrer le contraire. Baptisée Januscape, cette faille permet à une machine virtuelle de corrompre le noyau de l’hôte, et donc de s’évader pour prendre le contrôle du serveur physique.

Une faille use-after-free dans le MMU de KVM

Januscape (CVE-2026-53359), c’est un bug de type use-after-free dans l’unité de gestion mémoire de KVM sur architecture x86. Le chercheur Hyunwoo Kim l’a découvert, et elle affecte autant les processeurs Intel que AMD.

Le pire ? Elle sommeillait dans le noyau Linux depuis 16 ans sans que personne ne la remarque. 16 ans pendant lesquels n’importe quel locataire un peu malin d’un cloud public pouvait potentiellement faire un « petit tour » chez ses voisins.

Comment Januscape permet l’évasion de VM

Concrètement, un attaquant qui loue une seule instance dans un cloud peut exploiter cette vulnrabilit pour provoquer un kernel panic sur l’hôte. Résultat : toutes les autres machines virtuelles hébergées sur le même serveur tombent en panne.

Mais ce n’est pas tout. L’exploitation peut aussi permettre une élévation de privilèges locale au sein de la VM invitée, car le périphérique /dev/kvm est souvent accessible en écriture à tout le monde. Un vrai cadeau pour un attaquant qui cherche à escalader.

Le correctif est arrivé, mais lentement

Les responsables du noyau Linux ont patché la faille le 16 juin 2026. Mais avec l’écosystème fragmenté des distributions Linux, le correctif peut mettre des semaines à arriver chez tout le monde.

Google, qui utilise KVM dans Google Cloud et Android, avait mis en place un programme de chasse aux failles : le kvmCTF, avec des primes jusqu’à 250 000 dollars pour une évasion complète. Hyunwoo Kim a gagné son bifteck, mais la leçon est claire : la sécurité informatique open source n’est pas un long fleuve tranquille.

Risques pour les clouds et les infrastructures critiques

Si tu gères des serveurs virtualisés en production, cette faille de sécurité est un signal d’alarme. Les environnements mutualisés, comme les offres de cloud public, sont les plus exposés. Le Monde Informatique a relayé l’information, mais la protection des données dépend de ta réactivité.

Le chercheur a publié une preuve de concept qui démontre le kernel panic, mais s’abstient pour l’instant de livrer l’exploit complet d’évasion. Cela ne veut pas dire que des acteurs malveillants ne sont pas en train de le développer dans l’ombre.

Et ce n’est pas la seule trouvaille de Hyunwoo Kim. Le mois dernier, il a aussi révélé une autre vulnrabilit, ITScape (CVE-2026-46316), qui permet une évasion similaire sur l’architecture ARM64. La cybersécurité n’a jamais fini de nous surprendre.

Source: www.lemondeinformatique.fr