Ce qu’il faut retenir
Peplink a publié un avis de sécurité concernant une faille du noyau Linux (CVE-2026-98432) présente dans le traitement des connexions TCP IPv4. Le score technique est de 9,8 (Critical). Selon l'éditeur, les conséquences possibles sur les équipements sont une corruption de la mémoire du système ou un plantage de l'appareil. L'éditeur précise que l'exploitation démontrée par un tiers, qui permettrait une prise de contrôle à distance, repose sur une fonction (MPTCP) désactivée sur ces équipements et n'est donc pas établie comme applicable. Des correctifs sont disponibles pour les produits concernés.
Qui est concerné ?
| Constructeur | Peplink |
| Versions concernées | Non précisé |
| Source | Avis officiel Peplink |
Selon l'avis de Peplink : InControl Virtual Appliance (ICVA) en version 2.14.4.2 et antérieures ; les routeurs Peplink Balance et MAX ainsi que FusionHub avec un firmware jusqu'à la version 8.6.1 (pour les Balance et MAX, jusqu'au build spécial 8.6.1s054, et pour FusionHub jusqu'à 8.6.1 GA). InControl 2 n'est pas vulnérable. Les champs structurés de la fiche (versions affectées, exposition) ne sont pas renseignés : Information non précisée dans la source consultée.
Quel est le risque concret ?
Gravité technique : le score CVSS de 9,8 (Critical) reflète une faille potentiellement exploitable à distance avec un impact élevé. Impact métier : l'éditeur mentionne une corruption de la mémoire du noyau ou un plantage de l'équipement, pouvant entraîner une interruption de la connectivité réseau (sites distants, accès VPN, liens de secours selon l'usage). L'éditeur indique que l'exploitation de type prise de contrôle à distance démontrée via MPTCP n'est pas établie comme applicable à ces équipements, mais que la désactivation de MPTCP ne supprime pas la faille TCP sous-jacente. Exploitation active connue : Information non précisée dans la source consultée.
Priorité de traitement
Justification : Le score CVSS est de 9,8 et l'éditeur le qualifie de Critical, des correctifs sont disponibles et les équipements réseau concernés sont souvent critiques pour la connectivité. En revanche, l'éditeur indique que l'exploitation à distance démontrée n'est pas établie comme applicable à ces appareils, et l'exploitation active ainsi que l'exposition Internet ne sont pas précisées dans la source. Cela justifie un traitement rapide dans le cadre normal de maintenance plutôt qu'une action d'urgence.
Que faut-il faire ?
- Mettre à jour ICVA vers la version 2.14.4.3.
- Mettre à jour les Peplink Balance, MAX et FusionHub vers le firmware spécial 8.6.1s062 (qui inclut les correctifs des versions 8.6.1s042 et 8.6.1s054). Le correctif sera inclus dans la prochaine version GA.
- Télécharger les firmwares depuis les liens officiels indiqués dans l'avis de l'éditeur, en vérifiant la révision matérielle de chaque équipement.
Recommandation Chrysalead
Identifier les équipements Peplink et ICVA du parc, vérifier leurs versions de firmware et planifier rapidement leur mise à jour vers les versions corrigées, en priorisant les équipements exposés à Internet ou critiques pour l'activité.
Détails techniques
| CVE | CVE-2026-98432 |
| Constructeur | Peplink |
| Score CVSS | 9.8 / Critical |
| Exploitation connue | Non précisé |
| Extrait de la source (en anglais) | Ref.: #38251 Published: 2026-11-03 [Last updated: 2026-11-03] Details: A new vulnerability was reported a few days ago, and highlighted in this post. According to one of the articles published, “Anthropic said on October 27 that its AI model wrote an exploit that uses the flaw to let a remote attacker with no credentials run commands as root on Linux servers with a multipath TCP (MPTCP) listener.”, the exploitation is targeted… |
- Use-after-free (UAF)
- Erreur de programmation où le système continue d'utiliser une zone de mémoire qu'il a déjà libérée, ce qui peut provoquer un plantage ou une corruption de données.
- Race condition
- Défaut qui apparaît quand deux opérations s'exécutent presque en même temps et que le résultat dépend de leur ordre, ce qui peut produire un comportement imprévu.
- Noyau Linux (kernel)
- Cœur du système d'exploitation qui gère le matériel et les communications réseau de l'équipement.
- MPTCP (Multipath TCP)
- Extension du protocole TCP qui permet à une connexion d'utiliser plusieurs chemins réseau en parallèle. Selon l'éditeur, elle est désactivée sur ces équipements.
- CVSS
- Échelle de 0 à 10 qui mesure la gravité technique d'une vulnérabilité, sans tenir compte du contexte de chaque entreprise.
- Firmware
- Logiciel embarqué qui fait fonctionner un équipement réseau tel qu'un routeur.
Analyse rédigée par Chrysalead à partir de l’avis officiel de l’éditeur, avec l’aide d’outils d’IA. Ces informations sont générales : consultez l’avis officiel et adaptez-les à votre environnement avant toute décision.