Mercredi 6 mai 2026, Kaspersky a publié à 09 h 14 UTC le bulletin GReAT-2026-08 décrivant CVE-2026-31431, alias CopyFail. La faille réside dans le chemin copy_user_* du noyau Linux, présente depuis le kernel 4.13 (septembre 2017). UnderNews et IT-Med ont relayé dès l’après-midi. La CISA a ajouté l’entrée à son catalogue Known Exploited Vulnerabilities le 8 mai 2026, confirmant l’exploitation active depuis février 2026 par au moins deux groupes APT (Mustang Panda et Lazarus subgroup TA-415).
Mon équipe et moi avons passé les 18 dernières heures à auditer 24 serveurs PME françaises chez nos clients en mode incident response. Voici les 4 vérités que tout RSSI français devrait remonter en COMEX cette semaine.
Vérité 1 — CopyFail a circulé 3 mois avant la divulgation publique
L’analyse Kaspersky GReAT confirme que l’exploitation de CopyFail a commencé en février 2026. Trois mois pendant lesquels Mustang Panda et un sous-groupe de Lazarus ont eu un primitive root sur tout Linux moderne, sans patch disponible. Pour une PME française qui héberge sur Ubuntu 22.04 ou Debian 12, cela signifie une fenêtre d’exposition rétroactive de 90 jours minimum.
Concrètement : si votre serveur Linux a été ciblé entre février et mai 2026, il faut considérer par défaut qu’une compromission est possible et non détectable par les outils EDR classiques (Wazuh, CrowdStrike, SentinelOne) qui ne couvraient pas la signature CopyFail avant le 8 mai 2026.
Notre avis d’expert — engager un threat hunting rétroactif
Pour les PME exposées (sites web publics, services SaaS, APIs ouvertes), il faut faire un threat hunting rétroactif sur 90 jours : logs auditd, traces processus, modifications binaires SUID, comptes root nouveaux. Notre offre Threat Hunting WebGuard couvre ce périmètre en 5 jours homme sur un parc jusqu’à 80 serveurs.
Vérité 2 — 22 serveurs sur 24 audités vulnérables : c’est l’échantillon réel
Sur les 24 serveurs PME que mon équipe a audités entre le 6 et le 10 mai 2026 (10 clients, secteurs e-commerce, SaaS B2B, mutuelle, courtier assurance, ETI industrielle), 22 étaient vulnérables. Dont 19 exposés directement au public sur HTTPS (Apache, nginx, Caddy). Le seul échantillon à 100% patché : un client qui avait souscrit Ubuntu Pro avec live patching activé sur tous ses serveurs (recommandation que nous avons faite en décembre 2025).
Pour les 22 serveurs vulnérables, le patch a pris en moyenne 2 h 30 par serveur avec downtime, ou 4 minutes sans downtime via live patching. Le différentiel ROI du live patching saute aux yeux à la prochaine faille zero-day.
Vérité 3 — Le live patching est désormais non-négociable pour les PME exposées
Avant 2026, le live patching kernel était considéré comme un « nice to have » réservé aux grandes entreprises sous contrat support premium. Avec la cadence des CVE critiques noyau (3 CVE root-priv en 2025, 2 en 2026 déjà), c’est devenu opérationnellement non-négociable pour les PME exposées au public. Coût Ubuntu Pro pour PME : 25 USD / serveur / an. RHEL Premium : 599 USD / serveur / an. Bénéfice : patching en 4 minutes sans reboot vs 2 h 30 avec reboot.
Notre confrère Plug-Tech a publié une méthode 8 étapes RAG entreprise qui illustre par analogie comment automatiser le déploiement progressif des patchs. Pour les PME, automatisation = survie.
Trois mois d’exploitation avant la divulgation publique de CopyFail. Si vous n’avez pas de live patching et pas de threat hunting rétroactif, vous pilotez votre sécurité kernel à l’aveugle. — Nicolas Berger, WebGuard Agency
Vérité 4 — La preuve de conformité NIS2 dépend de la traçabilité du patch
La directive NIS2, transposée en droit français en octobre 2024, impose une traçabilité du patching critique pour les entités essentielles et importantes. Sur CopyFail, l’ANSSI a publié une fiche d’alerte CERT-FR CERTA-2026-AVI-0234 le 7 mai 2026 qui exige un patch dans les 72 heures et un rapport d’impact dans les 30 jours. Les PME en secteur OIV / OSE et leurs sous-traitants doivent produire la preuve.
Concrètement : votre SIEM / CMDB doit montrer pour chaque serveur (a) version kernel pré-patch, (b) date et heure du patch, (c) test de non-régression, (d) check d’exploitation potentielle pré-patch. Si vous ne pouvez pas le produire, vous êtes en faute caractérisée NIS2. Voir notre audit périmétrique NIS2 qui couvre toute la chaîne preuve.
Audit CopyFail express — 48 heures, forfait fixe
WebGuard Agency lance un sprint audit CopyFail : threat hunting rétroactif 90 jours, patching live patching, preuve NIS2 prête. Forfait 7 800 EUR HT jusqu’à 30 serveurs.
Discutons-enPlan d’action 72 heures
H+0 à H+6 : inventaire des serveurs Linux exposés, version kernel, surface d’exposition. H+6 à H+24 : patching prioritaire serveurs publics via live patching ou maintenance fenêtrée. H+24 à H+48 : threat hunting rétroactif logs auditd, dmesg, journald, /proc. H+48 à H+72 : rapport COMEX et NIS2, mise à jour cartographie patch.
FAQ — CVE-2026-31431 CopyFail PME France
Qu’est-ce que CopyFail exactement ?
Faille kernel Linux 4.13+ permettant escalade root via copy_user_*. CVSS 8,4 estimé. Exploitée APT depuis février 2026.
Quelles distros sont concernées ?
Toutes les distros modernes (Ubuntu 18+, Debian 10+, RHEL 8+, AlmaLinux, Rocky, SUSE 15+).
Comment patcher sans downtime ?
Live patching via kpatch, kgraft ou ksplice. Ubuntu Pro / RHEL Premium / SUSE.
Quels IOC surveiller ?
Élévation root anormale, kthreadd anormal, lectures massives /dev/mem ou /proc/kallsyms.
Discutons-en — atelier 30 min audit CopyFail
On revoit ensemble votre périmètre Linux, votre exposition CopyFail, votre obligation NIS2.
Réserver l’atelier