L'organisation Cardano appelle les opérateurs de pool à mettre à jour en raison d'une grave vulnérabilité de Linux

Points clés de cet article

• Ubuntu et RHEL n'ont pas fourni de correctif au 30 octobre
• Environ 21,3 milliards d'ADA sont délégués, l'impact prévu concerne principalement les récompenses

Demande de mise à jour et de redémarrage pour les SPO

L'organisation Intersect, qui soutient la gouvernance de Cardano (ADA), a appelé les opérateurs de pool de mise (SPO) à réagir à une vulnérabilité critique du noyau Linux, « CVE-2026-98432 », dans sa mise à jour hebdomadaire du 30 octobre. Ils sont invités à vérifier la version du noyau sur leurs serveurs de génération de blocs et de relais, et à appliquer le correctif dès qu'il sera disponible pour leur distribution, puis à redémarrer.

Le score CVSS qui indique la gravité de la vulnérabilité est de 9,8 sur 10, classée comme « critique ». La faille concerne le traitement des connexions TCP IPv4 externes, et si elle est exploitée, elle peut entraîner l'arrêt du serveur et, dans certaines conditions, permettre une manipulation externe sans authentification. L'impact concerne les noyaux à partir de la version 4.4. Intersect n'a pas signalé d'exemples d'exploitation visant les pools de Cardano.

Cardano adopte un système de preuve d'enjeu (PoS), où les détenteurs d'ADA délèguent leurs ADA à un pool de mise, et les SPO qui gèrent le pool sont responsables de la génération de blocs. Beaucoup de SPO exécutent leurs nœuds sur des serveurs Linux, c'est pourquoi cet avertissement s'adresse aux opérateurs plutôt qu'aux détenteurs ordinaires.

Le noyau Linux (upstream) a intégré le correctif début octobre. Cependant, la réponse des distributions utilisées par les SPO varie : au 30 octobre, Ubuntu était en cours de correction, Red Hat Enterprise Linux (RHEL) préparait un correctif, et AlmaLinux n'avait fourni qu'un noyau corrigé dans un dépôt de test. Intersect encourage les utilisateurs à ne pas supposer que leur environnement est déjà corrigé et à vérifier chaque serveur.

Anthropic rapporte la création de code d'attaque

Avant cet avertissement, la société américaine d'IA Anthropic a révélé dans un rapport de recherche publié le 27 octobre qu'un modèle Claude non publié avait généré un code d'attaque exploitant cette vulnérabilité. La cible était un serveur Linux attendant des connexions « Multipath TCP (MPTCP) » qui envoient une communication par plusieurs chemins, et dans un environnement de test, cela a permis d'exécuter des commandes avec des droits d'administrateur (root) en environ 53 minutes.

Anthropic a déclaré avoir signalé la vulnérabilité avant la publication, et le code d'attaque lui-même n'a pas été rendu public. Les correctifs ont été reflétés dans toutes les branches de noyau stable sous maintenance. Les enregistrements CVE du noyau et les correctifs ne mentionnent pas MPTCP, et le contenu du rapport de l'entreprise n'a pas encore été entièrement vérifié par des tiers.

Impact prévu sur les récompenses des ADA délégués

Dans le cadre de la délégation de Cardano, les ADA ne quittent pas le portefeuille du détenteur et peuvent être transférés à tout moment pendant la délégation. Même si le serveur du pool est compromis, il n'y a pas de mécanisme permettant de voler directement les ADA des délégués. Au 31 octobre, environ 21,3 milliards d'ADA étaient délégués, représentant environ 57 % de l'offre en circulation (selon Cardanoscan).

La préoccupation concerne les récompenses. Si le serveur s'arrête et que la génération de blocs est interrompue, les récompenses reçues par le pool et les délégués diminueront. Cardano a également connu une autre défaillance en novembre 2025, où la chaîne a temporairement bifurqué en raison d'un autre problème, mais aucun dommage n'a été causé aux fonds des utilisateurs. Concernant cette vulnérabilité, aucun lien n'a été confirmé avec des pertes de fonds ou de récompenses.

Ce contenu est fourni à titre informatif uniquement et ne constitue pas un conseil financier, d'investissement, juridique ou fiscal. Les événements, récompenses, promotions en ligne ou informations mentionnées ici ne doivent pas être considérés comme une recommandation, une sollicitation ou une invitation à acheter, vendre, trader ou effectuer toute autre opération sur des actifs crypto. Les actifs crypto sont très volatils et peuvent entraîner des pertes. La disponibilité des services, produits et événements liés à WEEX peut varier selon les régions. Veuillez vous assurer que votre participation respecte les lois et réglementations locales applicables.