Faille Linux critique chez les stake pools Cardano, les ADA délégués restent à l’abri

Intersect, l’organisation de gouvernance de Cardano, a demandé fin octobre aux opérateurs de stake pools de passer leurs serveurs sur un nouveau noyau Linux. La consigne vise les deux types de machines d’un pool, le producteur de blocs et les relais qui le relient au réseau. Ce qui est établi : la faille porte l’identifiant CVE-2026-98432, le suivi de sécurité d’Ubuntu lui attribue un score CVSS 3 de 9,8 sur 10 et le niveau « Critical », et personne n’a encore compté combien des 2 884 pools Cardano enregistrés utilisent un noyau vulnérable. Notre analyse figure plus bas : la faille ne change rien au solde des ADA délégués, mais elle peut peser sur la récompense de l’époque en cours.

L’alerte d’Intersect aux stake pools Cardano, point par point

La consigne a été adressée aux opérateurs le 30 octobre et tient en trois instructions que tout administrateur système connaît : vérifier le noyau en service sur le producteur de blocs et les relais, installer le noyau corrigé dès que la distribution le publie, puis redémarrer. Le redémarrage est inévitable lors d’une mise à jour du noyau, car l’ancien continue de tourner jusque-là.

L’alerte présente expressément deux parades comme provisoires et non comme une solution : une règle de pare-feu qui rejette les paquets dangereux, et la désactivation de MPTCP, une extension du protocole réseau. Aucune des deux ne referme la faille du noyau, elles ne font que restreindre l’accès à celle-ci. Personne n’a signalé à ce jour d’attaque contre l’infrastructure des pools Cardano, Intersect pas davantage.

La semaine précédente montre à quel rythme Cardano sollicite ses opérateurs. Lors de notre article du 31 octobre, le vote sur 9,6 millions d’ADA de la trésorerie courait encore jusqu’au 20 novembre, et le cours se situait juste sous 0,20 dollar. Lundi à la mi-journée, l’ADA cote 0,1906 dollar, en baisse de 6,3 % sur sept jours et de 21,4 % sur 30 jours selon CoinGecko. La question de gouvernance d’alors reste ouverte, la question technique d’aujourd’hui s’y ajoute.

CVE-2026-98432 : l’erreur se loge dans la poignée de main IPv4 du noyau

Un use-after-free est une erreur de programmation par laquelle un logiciel accède à une zone mémoire qu’il a déjà libérée. Ce qui s’y trouve entre-temps peut, dans certaines conditions, être déterminé par un attaquant, et c’est là que réside le danger.

Ici, cela se produit lors de l’établissement des connexions IPv4 entrantes. Selon la description du suivi d’Ubuntu, un socket enfant peut être libéré alors que ses options IP sont encore lues, ce qui provoque un use-after-free dans la fonction du noyau ip_options_build(). Le déclencheur est l’envoi répété de paquets SYN, le premier paquet de toute ouverture de connexion, combiné à la migration d’un socket de requête entre processus. Le correctif ne libère la mémoire qu’après un délai de grâce. IPv6 n’est pas concerné par ce premier défaut.

Le score de 9,8 points s’explique par le fait que l’attaque passe par le réseau, ne requiert aucune authentification et n’a besoin de la complicité de personne. Ubuntu fixe sa propre priorité à « High ». Le défaut figure dans le noyau depuis la version 4.4, soit depuis début 2016, ce qui le rend possible sur pratiquement tous les noyaux de serveurs en production.

Sa portée fait débat. Anthropic a indiqué le 27 octobre qu’un modèle de recherche interne avait construit une attaque fonctionnelle procurant à distance des droits root contre un service MPTCP ; le code n’a pas été publié. Le texte du CVE lui-même décrit le chemin IPv4 ordinaire et ne mentionne pas MPTCP. Red Hat juge la faille moins grave, car la fenêtre temporelle est difficile à atteindre. Fin octobre, elle ne figurait pas sur la liste des vulnérabilités activement exploitées tenue par l’agence américaine CISA.

Pourquoi les ADA délégués restent dans votre portefeuille

Sur Cardano, la délégation fonctionne autrement que dans bien des offres qui se présentent comme du staking. Vous n’envoyez pas de jetons à un pool. Avec votre clé de staking, vous signez un acte, le certificat de délégation, qui indique au réseau quel pool peut compter votre poids dans la production de blocs. Les ADA restent sur votre adresse, librement disponibles, sans période de blocage.

D’où la phrase la plus importante de cet article : un pool compromis ne peut pas dépenser les ADA qui lui sont délégués. Les clés d’un pool l’autorisent à signer des blocs, pas à déplacer des avoirs. Celui qui prend le contrôle d’un producteur de blocs peut perturber ou arrêter la production, mais il n’a pas accès aux portefeuilles des délégateurs.

Le préjudice se situe donc ailleurs. Un pool en panne manque les blocs que le réseau lui a attribués pour l’époque en cours. Les blocs manqués ne rapportent aucune récompense, et celle-ci est partagée entre l’opérateur et les délégateurs. Une panne coûte du rendement, pas du capital.

21,54 milliards d’ADA répartis sur 2 884 pools : le staking Cardano à l’époque 665

Le poids qui repose sur cette infrastructure se lit directement dans la blockchain Cardano. Lundi à la mi-journée, nous avons extrait les chiffres de la blockchain via l’interface Koios au lieu de les reprendre de rapports.

Pendant l’époque 665 en cours, 21 540 456 674 ADA sont délégués, soit environ 21,54 milliards. Rapportés aux 36,82 milliards d’ADA en circulation, cela représente 58,5 % de l’offre totale ; au cours de lundi de 0,1906 dollar, cela correspond à une valeur de marché d’environ 4,1 milliards de dollars. Ce poids se répartit sur 2 884 pools enregistrés.

Ce chiffre est à mettre en regard d’un paramètre du protocole rarement cité : le paramètre k, qui fixe le nombre visé de pools, s’établit à 500. Il existe donc près de six fois plus de pools que ne le prévoit le modèle de récompense. Pour la faille, c’est à la fois une bonne et une mauvaise nouvelle. La bonne, c’est qu’aucune panne isolée ne peut ébranler le réseau, puisque la production de blocs se répartit sur de nombreux opérateurs. La mauvaise, c’est que beaucoup de petits pools sont exploités par des particuliers sur leur temps libre, et une mise à jour du noyau pendant le week-end suppose que quelqu’un l’installe.

Le calendrier est précis. L’époque 665 a commencé le 31 octobre à 22 h 44, heure allemande, et se termine le 5 novembre à la même heure. Ce qu’un pool manque pendant cette époque est acquis dès qu’elle s’achève, car Cardano ne crédite la récompense d’une époque que deux époques plus tard, soit une dizaine de jours après. Une redélégation effectuée aujourd’hui ne prend elle aussi effet qu’au prochain changement d’époque, pas immédiatement.

Le dernier décompte clôturé montre l’enjeu. À l’époque 662, le réseau a distribué 6 146 980 ADA sur 21,39 milliards d’ADA délégués, soit 0,0287 % par époque ou, sur la base de 73 époques par an, 2,10 % par an. Pour une position de 10 000 ADA, cela fait un peu moins de 2,9 ADA par époque, environ 55 cents au cours de lundi. Pour comparer les prestataires et leurs conditions, consultez notre comparatif des meilleures plateformes de staking.

L’état des correctifs Linux selon les distributions

La capacité d’un opérateur à agir dépend de sa distribution Linux. La situation est hétérogène, et c’est la vraie raison pour laquelle l’alerte est arrivée avant un correctif définitif.

AlmaLinux a placé des noyaux corrigés dans son dépôt de test le 30 octobre : version 4.18.0-553.180.2.el8_10 pour AlmaLinux 8, 5.14.0-687.61.2.el9_8 pour AlmaLinux 9 et 6.12.0-211.69.2.el10_2 pour AlmaLinux 10. Dans son propre avis sur CVE-2026-98432, le projet décrit aussi les parades provisoires, dont une règle nftables qui rejette les paquets IPv4 entrants à en-tête trop long et ne survit pas à un redémarrage, ainsi que la vérification de l’activation de MPTCP.

Chez Ubuntu, le tableau est différent. Le suivi de sécurité d’Ubuntu classe les noyaux de 26.10, 26.04 LTS, 24.04 LTS et 22.04 LTS comme vulnérables avec un correctif en préparation, tandis que 20.04, 18.04 et 16.04 sont listés comme vulnérables sans travaux en cours. Seule l’ancienne 14.04 est considérée comme non concernée. Chez Red Hat, le correctif se faisait encore attendre fin octobre.

Pour un opérateur, cela signifie que ceux qui utilisent AlmaLinux pouvaient agir dès le week-end. Ceux qui utilisent Ubuntu LTS, le cas le plus fréquent sur du matériel serveur, ne pouvaient appliquer que les parades provisoires et devaient attendre. C’est précisément cette fenêtre qui justifie de regarder sa délégation dès maintenant plutôt qu’en décembre.

Production de blocs et saturation : deux indicateurs du profil d’un pool

La situation de votre pool figure dans n’importe quel explorateur Cardano, et deux valeurs suffisent pour l’évaluer.

La première est la production de blocs de l’époque en cours, c’est-à-dire le nombre de blocs attribués comparé au nombre de blocs effectivement produits. Un pool auquel le réseau a attribué des blocs et qui n’en a livré aucun a un problème, que la cause soit le noyau, une panne de disque ou un certificat expiré. Pour les petits pools, la patience s’impose : lorsqu’un pool ne se voit attribuer qu’un ou deux blocs par époque, un zéro est possible même sans incident.

La seconde valeur est la saturation. Le paramètre k de 500 et les 36,82 milliards d’ADA en circulation donnent un point de saturation d’environ 73,6 millions d’ADA par pool. Au-delà, la récompense du pool cesse d’augmenter alors que le poids délégué continue de croître, et chaque ADA supplémentaire y rapporte moins. S’y ajoute le coût fixe par époque, actuellement fixé à 170 ADA dans le protocole. Pour un très petit pool, il pèse proportionnellement bien plus lourd que pour un grand.

Un troisième point n’est ni un chiffre ni un indicateur, mais c’est le plus important aujourd’hui : votre opérateur répond-il à une question sur la version de son noyau, et dit-il publiquement ce qu’il fait ? Les pools qui tiennent un canal ou une page d’état se laissent vérifier les jours comme celui-ci. Les pools sans aucune trace en ligne, non.

Le staking Cardano en Allemagne : impôt, délai de détention et conservation

Deux points concernent les investisseurs allemands qui délèguent ; ils n’ont rien à voir avec la faille, mais s’appliquent à chaque changement de pool.

Sur le plan fiscal, la circulaire du ministère fédéral des Finances du 6 mars 2025 classe les revenus de staking parmi les autres revenus de prestations au sens du § 22 n° 3 EStG. Un seuil d’exonération de 256 euros par année civile s’applique, et il couvre l’ensemble des autres revenus de prestations, pas seulement le staking. Si le seuil est dépassé, c’est la totalité du montant qui devient imposable, et non la seule part excédentaire. Avec le rendement annuel de 2,10 % que la blockchain affiche pour l’époque 662, ce seuil n’est en vue qu’à partir d’une position de plus de 60 000 euros.

Les ADA eux-mêmes relèvent du § 23 EStG et de son délai de détention d’un an, que la délégation ne prolonge pas. Nous suivons en continu le devenir de la réforme envisagée dans notre point sur la réforme du délai de détention des cryptos, car aucune décision du gouvernement n’a encore été prise. Ce qui compte pour la question du jour : une redélégation n’est pas une cession. Vous ne déplacez aucun jeton, vous signez un nouveau certificat, et le délai de détention de vos ADA continue de courir.

Côté conservation, la clé de staking reste chez vous. Un portefeuille matériel peut signer lui-même le certificat de délégation, sans que la clé ne quitte l’appareil. Seuls les frais de transaction de quelques centimes s’appliquent. Si vous stakez en revanche via une plateforme d’échange, vous confiez le choix du pool au dépositaire, et ce raisonnement ne s’applique pas.

Notre analyse : le risque porte sur le rendement

Notre analyse : cette faille est urgente pour les opérateurs de pools et, pour les délégateurs, avant tout une question de rendement. Trois éléments l’étayent. Le score de 9,8 points et les noyaux encore non corrigés des grandes versions Ubuntu LTS montrent que le problème côté serveur est réel et n’est pas réglé. Aucune attaque n’a pourtant été signalée, et l’identifiant ne figurait pas fin octobre sur la liste CISA des vulnérabilités exploitées. Enfin, la délégation elle-même ne donne à un pool aucun droit de déplacer des avoirs.

Les arguments contraires ont leur place dans le même paragraphe. Si le chemin vers les droits root décrit par Anthropic fonctionne aussi en dehors de MPTCP, il ne s’agit plus seulement de la panne d’un relais mais de la prise de contrôle de machines qui signent des blocs. Un attaquant pourrait alors saboter la production d’un pool, provoquer des doubles signatures et nuire à l’opérateur. Même dans ce cas, il n’accéderait pas aux ADA des délégateurs, mais une époque sans blocs est une époque sans récompense.

En chiffres, le préjudice reste faible pour une position ordinaire. Si votre pool manque une époque entière, cela coûte environ 2,9 ADA pour 10 000 ADA délégués, soit quelque 55 cents au cours de lundi. Ce n’est pas une raison de se précipiter sur la délégation, mais c’en est une bonne pour vérifier une fois où se trouve votre poids. Il ne s’agit expressément pas d’une recommandation d’achat ou de vente : l’ADA cote 93,8 % sous son record historique de 3,09 dollars, et une perte totale est possible à tout moment avec les cryptoactifs.

Faille Linux dans les pools : l’époque 665 s’achève le 5 novembre

D’ici le changement d’époque du 5 novembre à 22 h 44, heure allemande, il reste le temps de vérifier sereinement que votre poids est bien placé. Trois étapes suffisent.

1. Consulter le pool. Ouvrez le profil de votre pool dans un explorateur et comparez les blocs attribués et produits pendant l’époque 665. S’il affiche zéro malgré plusieurs blocs attribués, interrogez l’opérateur sur la version de son noyau. Les alternatives et leurs frais figurent dans notre comparatif des meilleures plateformes de staking.
2. Vérifier les clés. Assurez-vous que votre clé de staking est bien chez vous et que le certificat de délégation a été signé depuis votre propre appareil. Les appareils qui le permettent sont présentés dans notre comparatif des portefeuilles matériels.
3. Clarifier la conservation. Si vos ADA se trouvent sur une plateforme d’échange, vous ne déléguez pas vous-même, et c’est le dépositaire qui choisit le pool. La manière dont procèdent les prestataires et ce qu’ils facturent sont détaillés dans notre comparatif des plateformes d’échange crypto.

(Au 2 novembre 2026. Cet article ne constitue pas un conseil en investissement. Les cours et les grilles tarifaires évoluent ; vérifiez les conditions auprès du prestataire avant tout achat.)