Les opérateurs de nœuds Bitcoin Lightning qui ont mis à jour vers les dernières versions de LND restent confrontés à une faille de sécurité critique, selon un rapport de CryptoSlate publié le 9 novembre. Bien que les nouveaux binaires LND désactivent les écouteurs Multipath TCP (MPTCP) par défaut – fermant ainsi la voie d’attaque démontrée dans la CVE‑2026‑98432 – la faille du noyau Linux sous‑jacent demeure non corrigée sur de nombreux hôtes, maintenant les nœuds vulnérables à une exécution de code à distance.

BTC / USD
Source : CoinGecko. Prix indicatifs.

Mise à jour LND bloque la voie d’exploitation connue

Les versions LND du 30 octobre (v0.20.7‑beta et v0.21.6‑beta) suppriment les écouteurs MPTCP activés par défaut par Go 1.24 sous Linux. Cette modification empêche le chemin d’exploitation démontré, qui utilisait un écouteur MPTCP pour déclencher le bug de corruption de mémoire du noyau. CryptoSlate précise que le correctif se limite aux ports propres à LND (peer, gRPC et REST) et ne concerne pas les autres services pouvant encore exposer MPTCP sur la même machine.

La vulnérabilité du noyau reste critique

La faille, répertoriée sous le numéro CVE‑2026‑98432, implique la réutilisation de mémoire libérée lors du traitement IPv4 TCP et obtient un score CVSS 3.1 de 9,8, la classant comme critique. Le suivi de sécurité d’Ubuntu indique que les paquets standards du noyau pour les versions 22.04 LTS et 24.04 LTS restent vulnérables, les correctifs n’étant disponibles que dans le dépôt -proposed depuis début novembre. Canonical a indiqué que des mises à jour complètes du noyau sont en cours, mais recommande aux opérateurs de vérifier la version exacte du noyau exécutée sur leurs systèmes.

Mesures d’atténuation pour les opérateurs Lightning

CryptoSlate propose une approche en trois volets : (1) mettre à jour vers le dernier binaire LND, (2) désactiver MPTCP au niveau de l’hôte avec la commande sysctl `net.mptcp.enabled=0` (ou définir la variable d’environnement Go `GODEBUG=multipathtcp=0` pour un soulagement immédiat), et (3) appliquer le noyau Ubuntu corrigé dès qu’il sera disponible dans le canal -updates et redémarrer. Les opérateurs utilisant Docker doivent également ajuster les paramètres de l’espace de noms réseau du conteneur, car les changements au niveau de l’hôte ne se propagent pas automatiquement aux conteneurs.

À surveiller prochainement

Les prochains développements à suivre incluent le rythme de publication de Canonical pour le correctif du noyau sur toutes les variantes d’Ubuntu, toute divulgation publique de tentatives d’exploitation contre les nœuds Lightning, et d’éventuels correctifs en amont de la communauté du noyau Linux qui pourraient résoudre la vulnérabilité en dehors des mises à jour spécifiques aux distributions.