Le 22 octobre 2026, NVD a publié trois CVE notées 9.9 dans deux briques d'isolation open source : Incus, le gestionnaire de conteneurs et de machines virtuelles issu de LXD (deux CVE), et Wasmtime, le moteur WebAssembly de la Bytecode Alliance.
Le point commun est ce qui leur vaut ce score : le changement de portée (S:C dans le vecteur CVSS). Dans les trois cas, un acteur qui n'a de droits que dans l'environnement isolé, ou sur ce qu'on y importe, finit par écrire sur l'hôte.
| Produit | CVE | CVSS 3.1 | Classe (CWE) | Versions vulnérables (description NVD) |
|---|---|---|---|---|
| Incus | CVE-2026-115377 | 9.9 | Suivi de lien symbolique (CWE-59) | avant 6.0.7, 6.1.0 à avant 7.0.2, 7.1.0 à avant 7.5.0 |
| Incus | CVE-2026-115375 | 9.9 | Traversée de chemin (CWE-22) | 7.0.0 à avant 7.0.2, 7.1.0 à avant 7.5.0 |
| Wasmtime | CVE-2026-115384 | 9.9 | Validation d'entrée (CWE-20) | 39.0.0 à avant 48.0.4, 49.0.0 à avant 49.0.2 |
Les scores sont publiés par VulnCheck (CNA), tous avec le vecteur AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H ; VulnCheck donne 9.4 en CVSS 4.0 pour chacune. NVD ne les a pas analysées : Received pour les deux CVE Incus, Deferred pour Wasmtime. Aucune n'est au CISA KEV à la date de rédaction.
Incus — CVE-2026-115377 : la migration qui écrit sur l'hôte
Lors d'une migration d'instance ou de volume, Incus reçoit les données via un flux rsync ou btrfs receive. La description NVD indique qu'une source de migration malveillante peut y glisser un lien symbolique, par exemple un rootfs pointant vers la racine de l'hôte. Incus suit ce lien en écrivant les données transférées : les fichiers atterrissent sur l'hôte, en root, d'où une compromission complète.
Le scénario concerne donc tout serveur Incus qui accepte des migrations depuis un serveur qu'il ne contrôle pas entièrement : un autre membre de cluster compromis, un serveur distant ajouté comme remote, un environnement partagé.
Incus — CVE-2026-115375 : la sauvegarde piégée
Une sauvegarde d'instance Incus contient un fichier index.yaml qui décrit, entre autres, les volumes personnalisés dépendants. Leur nom n'est pas validé. Un client autorisé à créer des instances peut importer une sauvegarde dont les noms de volumes contiennent des séquences ../, et faire créer sur l'hôte des répertoires appartenant à root, avec un contenu qu'il contrôle. NVD conclut, là aussi, à une compromission complète de l'hôte.
C'est particulièrement gênant dans les déploiements multi-tenants, où le droit de créer des instances est précisément ce qu'on délègue à des utilisateurs.
Wasmtime — CVE-2026-115384 : débordement de pile depuis l'invité
Wasmtime fait tourner du code WebAssembly non fiable dans un bac à sable. Avec le modèle de composants asynchrone (component-model-async), le type du résultat des fonctions de rappel n'est pas validé. Un composant malveillant qui déclare des callbacks mal typés peut faire écrire environ 16 Ko sur la pile native de l'hôte, écraser des adresses de retour, et soit faire planter l'hôte, soit sortir du bac à sable.
Sont concernés les services qui exécutent des composants Wasm fournis par des tiers : plateformes de fonctions, plugins, edge computing.
Versions corrigées
La description NVD donne des plages « avant X » : les versions citées sont les premières hors plage pour chaque branche.
- Incus : 6.0.7 (branche LTS 6.0), 7.0.2 (branche 7.0) et 7.5.0 (branche courante) corrigent CVE-2026-115377 ; 7.0.2 et 7.5.0 corrigent CVE-2026-115375, qui ne touche pas la branche 6.x d'après NVD.
- Wasmtime : 48.0.4 ou 49.0.2 selon la branche.
Ce sont des bornes, pas forcément les dernières versions disponibles : les advisories GitHub d'Incus (lxc/incus) et de Wasmtime (bytecodealliance/wasmtime) cités en références font foi. Pense aussi aux paquets de ta distribution, qui ont leur propre numérotation de correctifs.
Détection
- Versions :
incus versionsur chaque serveur et membre de cluster ; pour Wasmtime, la version du cratewasmtimedans lesCargo.lockde tes services, ou celle des runtimes qui l'embarquent. - Incus : journaux d'opérations de migration (
incus monitor, journal du démon) en provenance de serveurs inattendus ; imports de sauvegardes (incus import) par des utilisateurs non administrateurs ; fichiers ou répertoires récents appartenant à root hors de/var/lib/incus(ou du chemin de stockage configuré). - Wasmtime : plantages du processus hôte au chargement d'un composant ; composants utilisant les fonctions asynchrones du modèle de composants si ton service ne s'y attend pas.
Mitigation
- Mets à jour Incus et Wasmtime vers les versions ci-dessus.
- Incus, en attendant : n'accepte de migrations que depuis des serveurs de confiance, retire temporairement le droit d'importer des sauvegardes aux projets non administrateurs, et contrôle les sauvegardes avant import.
- Wasmtime, en attendant : si ton service n'a pas besoin du modèle de composants asynchrone, garde-le désactivé dans la configuration du moteur ; refuse les composants de sources non fiables.
- Défense en profondeur : un hôte de virtualisation ou d'exécution Wasm ne devrait pas porter d'autres services sensibles. Si l'isolation cède, le rayon d'impact reste limité.
Pourquoi surveiller en continu vos briques d'isolation
Incus et Wasmtime sont rarement dans l'inventaire : l'un est une couche d'infrastructure installée une fois, l'autre une dépendance enfouie dans un service. Ce sont pourtant eux qui tiennent la frontière entre ce que tu exécutes et ce que tu possèdes.
Avec cveo.tech, ajoute tes hyperviseurs et moteurs d'exécution à ton parc et reçois une alerte dès qu'une CVE critique les touche.