Matt Corallo a signalé le 30 octobre la vulnérabilité CVE-2026-98432 du noyau Linux, et Lightning Labs a publié LND 0.20.7, une version qui ferme la voie d'exploitation démontrée via les nœuds Lightning. Si vous faites tourner LND sous Linux, trois étapes sont à suivre, dans l'ordre.
Ce qu'est CVE-2026-98432
La faille affecte le code de handshake TCP IPv4 du noyau Linux et porte un score CVSS de 9,8. Corallo l'a qualifiée, sur X, de « faille Linux la plus critique de tous les temps ».
Selon les notes de version de LND 0.20.7, l'exploit distant démontré nécessite un listener Multipath TCP (MPTCP). Go 1.24+ active MPTCP par défaut : LND 0.20.x exposait donc de tels listeners sur ses ports pair, gRPC et REST. Windows et macOS ne sont pas concernés.
Ce que Lightning Labs a modifié
- Les binaires LND 0.20.7 n'ouvrent plus de listeners MPTCP et rétablissent le TCP classique comme transport par défaut
- Il s'agit d'une mesure d'atténuation, pas d'un correctif : la faille du noyau n'est pas propre à MPTCP
- Le compte officiel de Lightning Labs a recommandé la mise à jour
sur X
- Une fois votre noyau corrigé, vous pouvez réactiver MPTCP avec GODEBUG=multipathtcp=1
Les trois étapes, dans l'ordre
Lightning Labs demande aux opérateurs Linux d'appliquer les trois étapes dans cet ordre. La nouvelle version protège uniquement LND, pas les autres services de la même machine.
Étape | Action | Ce que cela couvre |
|---|---|---|
1 | Passer à LND 0.20.7 | Ferme la voie d'exploitation démontrée via LND |
2 | sudo sysctl -w net.mptcp.enabled=0 | Les autres services de l'hôte |
3 | Installer le noyau corrigé de votre distribution | Le seul correctif de la faille du noyau elle-même |
Pour que l'étape 2 survive aux redémarrages, exécutez aussi : echo 'net.mptcp.enabled = 0' | sudo tee /etc/sysctl.d/90-disable-mptcp.conf. Si la commande indique que la clé n'existe pas, votre noyau ne prend pas en charge MPTCP et n'est pas exposé par cette voie.
Docker, vérification et solutions de repli
Le paramètre MPTCP s'applique par espace de noms réseau. Si LND tourne dans Docker, passez --sysctl net.mptcp.enabled=0 au conteneur, ou utilisez la règle de pare-feu de l'issue 11455, qui couvre tous les espaces de noms.
Vérifiez avec sudo ss -Mlnp | grep lnd - la commande ne doit rien afficher. Si vous ne pouvez pas encore mettre à jour, lancez plutôt le binaire existant avec GODEBUG=multipathtcp=0.
Désactiver MPTCP ne ferme que l'exploit démontré. Ne réactivez pas MPTCP avec GODEBUG=multipathtcp=1 tant que votre noyau n'est pas corrigé.