Un ensemble de vulnérabilités a été identifié dans le noyau Linux utilisé par les distributions Red Hat Enterprise Linux (RHEL). L'éditeur a diffusé trois bulletins de sécurité distincts — référencés RHSA-2026:21209, RHSA-2026:21706 et RHSA-2026:21745 — les 27 et 28 mai 2026. L'agence nationale de la sécurité des systèmes d'information (ANSSI), via son CERT-FR, a émis un avis le 29 mai 2026 pour alerter les administrateurs et utilisateurs de ces correctifs critiques.
Treize vulnérabilités répertoriées
Les correctifs adressent au total treize failles de sécurité, chacune identifiée par un code CVE (Common Vulnerabilities and Exposures). Il s'agit des références CVE-2025-21999, CVE-2025-38653, CVE-2025-39766, CVE-2025-39981, CVE-2025-68183, CVE-2025-68347, CVE-2025-68366, CVE-2025-68741, CVE-2025-71116, CVE-2026-23243, CVE-2026-23270, CVE-2026-23455 et CVE-2026-31408. Selon les classifications, la plus critique permet une élévation de privilèges, c'est-à-dire la possibilité pour un attaquant d'obtenir des droits d'accès supérieurs à ceux normalement accordés.
Cinq catégories de risques
L'avis du CERT-FR distingue cinq types de conséquences potentielles : une élévation de privilèges, une atteinte à la confidentialité des données, une atteinte à l'intégrité des données, un contournement de la politique de sécurité et un déni de service. En fonction de la faille exploitée, un attaquant pourrait donc lire des informations confidentielles, les modifier, bloquer le fonctionnement du système, ou encore contourner les mécanismes de protection mis en place.
Un large périmètre de systèmes impactés
Les versions concernées couvrent plusieurs architectures matérielles et cycles de support de Red Hat. Sont notamment touchées les distributions RHEL 8 et RHEL 9.4, y compris leurs déclinaisons pour processeurs ARM 64 bits, IBM z Systems (s390x), Power little endian (ppc64le) et x86_64. Les offres spécialisées comme Red Hat Enterprise Linux for Real Time, pour les applications temps réel, ainsi que les versions Extended Life Cycle, Extended Update Support et Update Services for SAP Solutions figurent également parmi les systèmes affectés. Les variantes CodeReady Linux Builder, destinées au développement, sont aussi concernées.
Des correctifs déjà disponibles
Red Hat a rendu disponibles les correctifs via son portail d'errata. L'éditeur recommande aux administrateurs de mettre à jour leurs systèmes sans délai. La responsabilité de l'application des rustines incombe aux utilisateurs, conformément aux procédures habituelles de gestion des correctifs. Le CERT-FR invite les organisations à consulter la documentation officielle pour identifier précisément les versions vulnérables et appliquer les mises à jour appropriées.
Contexte et antécédents
Cette série de correctifs intervient alors que Red Hat avait déjà publié un premier bulletin de sécurité le 27 mai 2026 (RHSA-2026:21209), suivi de deux autres le lendemain (RHSA-2026:21706 et RHSA-2026:21745). La publication de l'avis du CERT-FR le 29 mai 2026 constitue une alerte de sécurité destinée à l'ensemble des administrations et entreprises françaises utilisatrices de ces distributions. Le noyau Linux étant le composant central du système d'exploitation, une faille à ce niveau expose potentiellement l'ensemble de la pile logicielle.
Actions recommandées
Les responsables de la sécurité des systèmes d'information doivent, selon les préconisations officielles, se référer aux bulletins Red Hat pour obtenir les correctifs. L'application rapide des rustines est jugée prioritaire, en particulier pour les infrastructures critiques hébergées sur des serveurs RHEL 8 ou RHEL 9.4. Aucune information n'a été communiquée à ce stade sur une éventuelle exploitation active de ces vulnérabilités dans le cadre d'attaques ciblées.
