Deux failles critiques ont été découvertes dans CUPS, le système d’impression utilisé par macOS et la majorité des distributions Linux, permettant une exécution de code à distance sans authentification.
Les vulnérabilités, identifiées comme CVE-2026-34980 et CVE-2026-34990, peuvent être combinées pour obtenir des droits root sur une machine ciblée.
La première faille permet d’injecter du code via une tâche d’impression PostScript envoyée sans authentification, tandis que la seconde exploite un mécanisme d’authentification pour écraser des fichiers système.
Ensemble, elles offrent à un attaquant distant la possibilité de prendre le contrôle complet d’un système, notamment dans des environnements où les imprimantes sont partagées en réseau.
Point critique : ces vulnérabilités ont été découvertes à l’aide d’agents d’intelligence artificielle, capables d’analyser rapidement le code et d’identifier des chaînes d’exploitation.
Des preuves de concept sont déjà publiques, et les modèles d’IA actuels permettent de générer des exploits fonctionnels en quelques minutes.
Aucun correctif officiel n’est encore disponible, bien que des patchs soient en préparation, laissant une fenêtre de vulnérabilité critique.
Les environnements professionnels sont particulièrement exposés, notamment ceux utilisant des serveurs CUPS accessibles sur le réseau.