Microsoft rapporte avoir identifié 59 vulnérabilités dans le noyau Linux à l’aide d’agents d’IA épaulés par des chercheurs. Derrière cette moisson figurent 33 CVE, huit exploits locaux démontrés et des délais d’intégration médian de 41 jours, alors que la validation et la coordination en amont restent largement manuelles.
Des correctifs fusionnés, mais une intégration qui s’étale sur 41 à 108 jours
Au moment de la publication, 38 des 59 rapports avaient donné lieu à des correctifs intégrés dans la branche principale du noyau Linux. La moitié de ces correctifs ont été acceptés dès la première soumission, tandis que les autres ont nécessité entre une et quatre révisions. Microsoft indique un délai médian de 41 jours entre la première soumission publique et l'intégration en amont, le délai le plus long ayant atteint 108 jours. Les échanges avec les mainteneurs se poursuivaient pour les rapports restants.
L’humain reste central : quatre mois-personnes pour consolider deux semaines de scans
Les scans initiaux ont duré environ deux semaines, mais la transformation des résultats en signalements recevables et en correctifs validés a demandé plus de quatre mois-personnes d’effort. Les signalements de vulnérabilité doivent généralement être accompagnés d’un correctif fonctionnel : les agents d’IA ont contribué à la rédaction de correctifs initiaux, mais la validation, la compréhension des sous-systèmes et l’itération avec les mainteneurs ont reposé sur les équipes humaines. Les chercheurs estiment que la recherche et la correction de bugs sont déséquilibrées et que l’humain reste le goulet d’étranglement. Le projet n’a couvert qu’une petite partie du noyau Linux ; des ajustements de l’approche assistée par IA pourraient permettre de découvrir d’autres bugs, mais ils préviennent que multiplier les vulnérabilités découvertes ne garantit pas une sécurité accrue des systèmes.
Des failles anciennes et sévères : moyenne 8,1 ans, un cas sur 21 ans
Au moment de leur révélation publique, les bugs présentaient un âge moyen de 8,1 ans. Une faille identifiée sous la référence CVE-2026-74544 existait dans le noyau depuis au moins 21 ans. Au total, 33 CVE ont été assignés aux découvertes, dont 24 sont considérés d’une gravité élevée ou supérieure, selon les scores CVSS v3.1 d’au moins 7,0.
Vous voulez les meilleurs outils IA avant les autres ?
On teste et on décrypte les nouveaux outils IA chaque soir, en 5 min. Gratuit.
Inclus dès l'inscription : notre sélection des meilleurs guides & comparatifs IA.
Choisissez votre rythme
Gratuit · Pas de spam · Désabonnement en 1 clic
Microsoft détaille huit élévations de privilèges locales sur le noyau Linux
Microsoft a présenté huit cas d’élévation locale de privilèges touchant différents composants, parmi lesquels IPv4, IPv6, le routage IPsec, la gestion des clés chiffrées ainsi que les tables de hachage redimensionnables. Certaines démonstrations impliquaient l’utilisation de paramètres inhabituels ou la désactivation de certaines atténuations. Un cas notable, CVE-2026-64563, concerne l’implémentation rhashtable : un changement de 2018 permettait de conserver un pointeur lors d’une pause d’itération, ce qui pouvait conduire à un accès à de la mémoire libérée lors de redimensionnements et de suppressions. Les diagnostics de socket Netlink, accessibles sans privilèges, ont permis de transformer ce défaut en primitive d’écriture mémoire noyau contrainte, pouvant aboutir à une élévation locale de privilèges. Cette vulnérabilité était exploitable sur des configurations Linux standards sans réglages spécifiques ni namespaces utilisateurs, et concernait aussi des appareils Android avec SELinux en application.
Du tri massif aux 59 rapports publiés entre fin juin et mi‑octobre
Le FORGE Lab de Microsoft, via le projet MDASH associant agents d’IA et chercheurs, a identifié 59 vulnérabilités dans le noyau Linux, dont certaines étaient présentes depuis plus de 20 ans. Les sous-systèmes ciblés incluaient le réseau, les systèmes de fichiers et les modules de sécurité. Environ deux semaines de scans ont généré 26 502 résultats initiaux, ramenés à 11 769 par filtrage automatisé. Les agents d’IA ont tenté de reproduire les vulnérabilités avec QEMU, produisant 621 preuves de concept, ensuite analysées par des chercheurs pour identifier les causes, fusionner les doublons et préparer les soumissions. Au final, 59 cas ont donné lieu à des rapports publics ; 266 partageaient des causes communes et relevaient des mêmes correctifs, 163 n’ont pas été soumis principalement en raison d’un impact sécurité limité, et 133 étaient déjà connus ou corrigés. Le 27 juin 2026 marque la date de soumission du premier rapport public. Au 1er septembre, 55 rapports figuraient sur des listes de diffusion publiques, tandis que les quatre derniers avaient été signalés de manière privée avant d’être rendus publics d’ici la mi-octobre.
