CVE-2026-46333 ssh-keysign-pwn, faille ptrace du noyau Linux

Shared FAQ page chrome (breadcrumb, dates, read time, «Continuer la lecture», enquiry block, category labels): see INDEX-AND-CHROME.md. Translate once.

Une nouvelle vulnérabilité du noyau Linux, référencée CVE-2026-46333 et désignée publiquement sous le nom ssh-keysign-pwn, a été divulguée. Le problème touche la logique de contrôle d'accès de ptrace du noyau Linux pendant la sortie des processus et peut permettre à un utilisateur local non privilégié de lire des fichiers sensibles appartenant à root dans certaines conditions. Des preuves de concept publiques sont déjà disponibles.

Cette vulnérabilité est particulièrement importante pour les systèmes Linux multi-utilisateurs, les serveurs mutualisés et les environnements où des utilisateurs locaux non fiables ou partiellement fiables disposent d'un accès shell.

---

Qu'est-ce que la CVE-2026-46333 ?

La CVE-2026-46333 est une situation de course dans le chemin de contrôle d'accès de ptrace du noyau Linux. Pendant la sortie d'un programme privilégié, il existe une courte fenêtre où le processus a déjà détaché son descripteur mémoire mais possède encore des descripteurs de fichiers ouverts. Un processus local non privilégié peut exploiter cette course pour dupliquer des descripteurs de fichiers du processus privilégié en train de se terminer.

Les exploits publics démontrent actuellement l'accès à des fichiers sensibles via des programmes SUID privilégiés tels que :

• ssh-keysign, qui peut accéder aux clés privées d'hôte SSH
• chage, qui peut accéder à /etc/shadow

---

Systèmes concernés

D'après les avis des éditeurs disponibles au 15 mai 2026 :

AlmaLinux

AlmaLinux a confirmé qu'AlmaLinux 9 et AlmaLinux 10 sont vulnérables, et que les exploits publics fonctionnent de façon fiable sur les deux. AlmaLinux 8 n'est pas exploitable avec la preuve de concept publique actuelle, mais le bogue sous-jacent de logique du noyau est présent et AlmaLinux prépare également des correctifs.

Des noyaux AlmaLinux corrigés sont actuellement disponibles dans le dépôt testing :

OS	Version de noyau corrigée
AlmaLinux 8	kernel-4.18.0-553.124.4.el8_10
AlmaLinux 9	kernel-5.14.0-611.54.6.el9_7
AlmaLinux 10	kernel-6.12.0-124.56.5.el10_1

CloudLinux

CloudLinux a confirmé que CloudLinux 8 LTS, CloudLinux 9 et CloudLinux 10 sont touchés par la preuve de concept publique actuelle. CloudLinux 7 n'est pas touché. CloudLinux 7h et CloudLinux 8 standard contiennent la course sous-jacente du noyau, bien que la preuve de concept publique actuelle ne les exploite pas directement.

CloudLinux recommande une mesure de contournement immédiate à l'échelle de l'hôte via le sysctl propre à CloudLinux kernel.user_ptrace=0.

---

Mesure de contournement immédiate

La correction permanente consiste à installer un noyau corrigé de l'éditeur de votre système d'exploitation et à redémarrer sur ce noyau. En attendant l'installation du noyau corrigé, les mesures suivantes peuvent réduire l'exposition.

---

Contournement pour les serveurs CloudLinux

Sur les systèmes CloudLinux, appliquez la mesure suivante :

sysctl -w kernel.user_ptrace=0
echo 'kernel.user_ptrace = 0' | sudo tee /etc/sysctl.d/99-ptracenull.conf
sudo sysctl --system

Vérifier :

sysctl kernel.user_ptrace

Résultat attendu :

kernel.user_ptrace = 0

Ce réglage désactive l'usage non privilégié de ptrace sur les systèmes CloudLinux et bloque la preuve de concept publique actuellement connue au niveau du noyau. CloudLinux précise que cela peut affecter des outils tels que gdb -p, strace -p et d'autres outils de débogage ou de supervision qui reposent sur l'attachement non privilégié à un processus.

---

Contournement pour les serveurs AlmaLinux

Sur les systèmes AlmaLinux, AlmaLinux recommande de durcir le ptrace_scope de Yama :

sysctl -w kernel.yama.ptrace_scope=3
echo 'kernel.yama.ptrace_scope = 3' > /etc/sysctl.d/99-ssh-keysign-pwn.conf
sysctl --system

Vérifier :

sysctl kernel.yama.ptrace_scope

Résultat attendu :

kernel.yama.ptrace_scope = 3

AlmaLinux indique que régler kernel.yama.ptrace_scope sur 2 ou 3 bloque les exploits publics connus. La valeur 3 désactive entièrement l'attachement ptrace, ce qui peut affecter des outils de débogage tels que gdb ou strace -p.

---

Durcissement supplémentaire facultatif

Lorsque c'est pertinent, les administrateurs peuvent aussi retirer le bit SUID des binaires actuellement connus comme cibles :

chmod u-s /usr/libexec/openssh/ssh-keysign 2>/dev/null
chmod u-s /usr/bin/chage

Vérifier :

ls -l /usr/libexec/openssh/ssh-keysign /usr/bin/chage

Les permissions ne doivent plus afficher de s dans le champ d'exécution du propriétaire.

Il ne s'agit que d'une mesure partielle. Elle couvre les cibles des exploits publics actuellement connus, mais ne corrige pas le problème sous-jacent du noyau. Elle peut aussi affecter l'authentification SSH basée sur l'hôte ou l'usage non root de chage.

---

Correction permanente : mettre le noyau à jour

Dès que les paquets corrigés sont disponibles dans les dépôts de production de votre éditeur, mettez le noyau à jour et redémarrez :

dnf clean all
dnf update -y 'kernel*'
reboot

Après le redémarrage, vérifiez le noyau en cours d'exécution :

uname -r
rpm -q kernel | sort -V

Pour AlmaLinux 8, 9 et 10, les noyaux corrigés ont d'abord été publiés dans le dépôt testing le 15 mai 2026. La disponibilité en production doit être confirmée depuis le dépôt de l'éditeur avant d'appliquer les mises à jour sur des systèmes de production critiques.

---

KernelCare / live patching

CloudLinux a indiqué que des correctifs à chaud KernelCare sont en préparation pour les systèmes concernés. Une fois disponibles, les serveurs équipés de KernelCare devraient pouvoir recevoir le correctif sans redémarrage, via le processus standard de live patching de KernelCare.

Pour mettre KernelCare à jour manuellement :

kcarectl --update

Pour vérifier les correctifs appliqués :

kcarectl --patch-info | grep CVE-2026-46333

---

Recommandation d'EuroVPS

Appliquez la mesure de contournement dès maintenant, installez le correctif lorsque le noyau de l'éditeur atteint le dépôt de production, et passez en revue entre-temps quels utilisateurs locaux disposent d'un accès shell.

---

Besoin d'aide ?

Ouvrez un ticket de support depuis l'espace client et nos ingénieurs appliqueront la mesure de contournement, le correctif et planifieront le redémarrage pour vous.