Une IA d'Anthropic a découvert une faille dans Linux permettant à un attaquant externe de prendre le contrôle d'un serveur via Internet, sans aucun mot de passe. Linux alimente 63 % des sites dont le système d'exploitation est identifiable, et cette faille était cachée dans le code depuis environ 10 ans. La gravité est notée à 9,8 sur 10, et Red Hat l'a classée comme critique. Lors des tests d'Anthropic, l'attaque nécessite environ 48 minutes de préparation et 5 minutes supplémentaires pour prendre le contrôle de la machine. Le correctif pour Linux existe depuis octobre, mais jusqu'à hier, Ubuntu listait toujours toutes les versions comme vulnérables. Le point faible actuel est désormais celui qui attend pour mettre à jour et redémarrer le serveur. La faille réside dans la manière dont Linux gère une nouvelle connexion Internet, la plus courante qui soit. L'attaque démontrée par Anthropic exploite une fonctionnalité appelée MPTCP, qui permet à une connexion d'utiliser plusieurs réseaux simultanément. Les programmes écrits en Go, un langage de programmation, ont cette fonctionnalité activée par défaut depuis la version 1.24, lorsque le système le permet. Les administrateurs de serveurs : mettez à jour le noyau dès que votre système le propose et redémarrez. Désactiver MPTCP aide temporairement, mais ne réduit que partiellement le risque, car la faille persiste dans la connexion standard. Anthropic n'a pas publié l'attaque, et aucun usage réel n'avait été signalé jusqu'à hier ; ceux qui mettent à jour aujourd'hui sont en avance. Imaginez combien d'autres failles pourraient encore être cachées quelque part.