Linux : la faille CopyFail permet à n'importe qui de devenir administrateur système
Une faille critique dans le noyau Linux, baptisée CopyFail, est activement exploitée par des attaquants depuis fin avril 2026. Elle touche la quasi-totalité des distributions modernes — Ubuntu, Red Hat Enterprise Linux, Amazon Linux 2023, SUSE — et permet à un utilisateur sans privilèges d'obtenir les droits administrateur (root) en quelques secondes.
Ce que fait cette faille
Le problème se situe dans le module `algif_aead`, qui gère certaines opérations cryptographiques au niveau du noyau. Une erreur logique dans la façon dont ce composant copie des données en mémoire permet à un attaquant local d'accéder à des zones protégées du système. L'exploit publié ne fait que 732 octets et fonctionne sans modification sur les principales distributions construites depuis 2017. Le score CVSS est de 7,8 sur 10 — classé « haute sévérité » — selon l'CERT-EU Advisory.
Le risque est particulièrement élevé dans les environnements conteneurisés. Le cache de pages partagé entre conteneurs sur un même noyau permet à un attaquant de sortir de son conteneur et de compromettre d'autres charges de travail sur le même hôte — y compris sur des plateformes cloud mutualisées comme AWS, Azure ou OVHcloud.
L'impact en France
Le CERT-EU Advisory publié le 30 avril recommande une remédiation immédiate, en priorisant les nœuds Kubernetes et les pipelines d'intégration continue (CI/CD). OVHcloud, Scaleway et les hébergeurs français opérant des environnements multi-locataires sous Linux sont directement concernés.
Si une exploitation est confirmée, les opérateurs sont soumis à l'obligation de notification de l'article 33 du RGPD, que la CNIL fait respecter en France : tout accès non autorisé à des données personnelles doit être signalé à l'autorité sous 72 heures. Les entreprises françaises du secteur financier, de la santé ou des services numériques qui hébergent leurs infrastructures sur des noyaux Linux vulnérables s'exposent à un risque de conformité réglementaire si les correctifs tardent.
Ce qu'il faut faire maintenant
Un correctif a été intégré dans le noyau Linux principal le 1er avril 2026. Les distributions majeures diffusent progressivement leurs mises à jour, mais l'adoption n'est pas uniforme. On peut vérifier la version du noyau installé (`uname -r`) et consulter les bulletins de sécurité de sa distribution pour confirmer si le correctif est disponible. En attendant, le CERT-EU recommande de désactiver le module `algif_aead` sur les systèmes qui n'en ont pas besoin, et de surveiller les tentatives d'escalade de privilèges dans les journaux système.
Aux États-Unis, la CISA a ajouté CVE-2026-31431 à son catalogue de vulnérabilités activement exploitées le 1er mai, imposant aux agences fédérales de corriger leurs systèmes avant le 15 mai.
