Januscape - La faille KVM qui dormait depuis 16 ans dans le cloud7 juillet 2026 à 11h55 / PAR KORBEN ✨ / 3 MIN DE LECTURE /Catégories connexes Écouter cet article ~ 3 minCe qu’il faut retenirUne faille use-after-free dans le shadow MMU de KVM (CVE-2026-53359, baptisée Januscape) dorment depuis août 2010 ; elle permet à un utilisateur root d'une VM d'accéder à la machine physique hôte si la virtualisation imbriquée est activée.Hyunwoo Kim a découvert la faille en participant au kvmCTF de Google, qui récompense jusqu'à 250 000 dollars pour une évasion complète VM-vers-hôte ; il a publié un code de démonstration qui plante l'hôte et garde un exploit non divulgué permettant l'exécution de code root.L'attaque nécessite deux conditions : être root dans la VM invitée et que l'hôte expose la virtualisation imbriquée ; un correctif existe déjà, ou désactiver la virtualisation imbriquée en attendant (kvm_intel.nested=0 ou kvm_amd.nested=0).Résumé généré par IADepuis 16 ans, il y a une énorme faille qui fait dodo dans le coeur de tout ce qui gère la virtualisation sous Linux et personne ne l'avait remarqué, jusqu'à ce que Hyunwoo Kim, un chercheur en sécurité connu sous le pseudo @v4bel débarque. Ce dernier vient de dénicher un use-after-free dans le shadow MMU de KVM, ce bout de code que KVM partage entre les processeurs Intel et AMD. Il a baptisé sa trouvaille Januscape (CVE-2026-53359), et croyez-moi, le scénario a de quoi filer des sueurs froides à n'importe quel hébergeur...En pratique, quand vous louez une VM dans le cloud, vous y êtes root (normal, c'est votre instance).
Mais si l'hôte autorise la virtualisation imbriquée, hé bien la faille vous ouvre en grand la porte vers la machine physique. Le code de démonstration que Kim a publié se contente de faire planter l'hôte, et il garde sous le coude un second exploit, non divulgué publiquement celui-là, qui transforme le même bug en exécution de code root sur l'hôte. Et il n'a pas trouvé tout ça par hasard, puisqu'il participait au kvmCTF de Google, un programme qui paie jusqu'à 250 000 dollars pour une évasion complète d'une VM vers son hôte...À ce stade, l'isolation censée séparer les locataires d'un même serveur vole en éclats, les VM de vos voisins de palier comprises.Le code fautif traîne depuis août 2010, du temps du noyau 2.6.36 et Kim présente d'ailleurs Januscape comme la première évasion d'une VM vers son hôte qui fonctionne aussi bien sur Intel que sur AMD, à sa connaissance en tout cas.Maintenant, avant de couper le wifi et de partir élever des chèvres dans le Larzac, deux petites nuances quand même car l'attaque réclame deux conditions réunies : être root dans la VM invitée, et que l'hôte expose la virtualisation imbriquée.
Pas mal d'hébergeurs ne l'activent pas, donc c'est pas non plus une apocalypse universelle. Par contre, pour ceux qui l'activent, c'est game over.Mais bonne nouvelle, le correctif est déjà là donc si vous administrez des serveurs KVM, mettez à jour maintenant. Et si vous ne pouvez pas patcher tout de suite, la parade consiste à désactiver la virtualisation imbriquée en attendant, avec kvm_intel.nested=0 sur de l'Intel ou kvm_amd.nested=0 sur de l'AMD.VENOM s'échappait déjà d'une VM en 2015 via un vieux driver de disquette, et plus récemment une faille kernel planquée neuf ans offrait un accès root sur une machine Linux.
Ces "fantômes" dorment longtemps dans le noyau, et ils choisissent toujours le pire moment pour se réveiller. Voilà, comme d'autres failles Linux à patcher d'urgence , celle-ci mérite tout de suite votre attention.Source Ajouter Korben à messources préféréesRéférenceshttps://security.googleblog.com/2024/06/virtual-escape-real-reward-introducing.htmlhttps://thehackernews.com/2026/07/16-year-old-linux-kvm-flaw-lets-guest.htmlCet article peut contenir des images générées à l'aide de l'IA - J'apporte le plus grand soin à chaque article, toutefois, si vous repérez une boulette, faites-moi signe !Sponsorisé Suivez la Coupe du Monde 2026 partout ⚽Avec Surfshark, regardez tous les matchs en français avec vos commentateurs habituels, même en déplacement à l'étranger. Connexion rapide et sécurisée sur tous vos appareils.J'en profite Que faire après le bac quand on est passionné de cybersécurité ?Contenu partenaireEntièrement dédiée à la cybersécurité, l'école Guardia est accessible soit directement après le bac (post-bac), soit après un bac+2 ou bac+3.
En rejoignant l'école Guardia, vous deviendrez développeur informatique option cybersécurité (Bac+3) ou expert en cybersécurité (Bac+5).Guardia CS forme aussi les professionnels à la cybersécurité via plusieurs formations en ligneVoir le site internet de l'école de cybersécurité Guardia CS