Vulnerpocalypse Containment — boîte à outils multiplateforme de preuves de mises à jour de sécurité

Catalogue maintenu, pas un correcteur universel de zero-day. Ce projet suit les correctifs de sécurité divulgués publiquement liés à la recherche Anthropic/Claude et les avis de fournisseurs d'octobre 2026 issus de sources distinctes. Il contient un correctif upstream Linux original et attribué pour CVE-2026-98432, des références de mises à jour de fournisseurs pour des produits propriétaires ou signés, un vérificateur multiplateforme en lecture seule de version minimale, et un contrôle d'exécution temporaire optionnel réservé à Linux avec retour arrière explicite.

Aucune modification arbitraire du noyau ou de binaires, aucun téléchargement automatique de correctifs, aucun test d'exploitation, et aucune prétention que chaque OS ou chaque découverte d'Anthropic soit couverte. Le confinement MPTCP d'exécution Linux optionnel et explicitement approuvé est la seule modification exécutable introduite par cette boîte à outils. Si aucun correctif de fournisseur vérifié ni aucune version prise en charge n'existe, le résultat correct est inconnu / revue manuelle, jamais « corrigé ».

Commencez ici — choisissez votre système d'exploitation

Pour les instructions les plus simples, ouvrez Installation facile. Choisissez votre appareil et suivez ses étapes numérotées. Vous n'avez pas besoin d'installer Python sur un téléphone. Sur ordinateur, Python 3.11–3.15 n'est nécessaire que pour exécuter les outils de vérification hors ligne optionnels de ce dépôt.

Appareil	Étape sûre la plus rapide	Confinement optionnel
Windows	Paramètres → Windows Update → Rechercher des mises à jour → Redémarrer	Revue de l'exposition HTTP.sys HTTP/3 pour les administrateurs ; pas un correctif binaire
Mac	Réglages Système → Général → Mise à jour de logiciels	Restriction de JavaScript dans Safari ; pas un correctif complet de WebKit
iPhone / iPad	Réglages → Général → Mise à jour de logiciels	Éviter la navigation non fiable en attendant la mise à jour d'Apple
Android / Pixel	Paramètres → Système → Mises à jour du système ; vérifier aussi les mises à jour du système Google Play	Éviter les hôtes USB non fiables ; pas un correctif de l'écran de verrouillage de l'appareil
Linux	Utilisez les mises à jour de sécurité signées de votre distribution, puis redémarrez	Bascule optionnelle, supervisée et réversible de la fonctionnalité MPTCP (Linux uniquement)
Chrome	Chrome → Aide → À propos de Chrome → Relancer	Limiter l'optimisation V8 ou cesser d'utiliser un Chrome obsolète
Autre / non pris en charge	Utilisez la mise à jour de sécurité publiée par le fournisseur d'origine de l'appareil	Aucun correctif binaire multiplateforme universel n'existe

Guide depuis un ordinateur portable/de bureau (aucun droit root/admin nécessaire) :

python scripts/quickstart.py guide --os linux
python scripts/quickstart.py guide --os windows
python scripts/quickstart.py guide --os macos
python scripts/quickstart.py guide --os android

Chaque guide fournit : avant de modifier quoi que ce soit → étapes simples → comment vérifier le contrôle temporaire → comment le remplacer par le correctif du fournisseur. Si un profil ne peut pas être justifié, la commande renvoie aucun profil vérifié.

Un contrôle temporaire exécutable : désactivation à l'exécution de MPTCP sous Linux. Il ne modifie que l'espace de noms courant, après une commande administrateur distincte et explicite, crée un état de restauration limité, et ne corrige PAS le noyau ni ne persiste après redémarrage. Voir Confinement d'urgence. Toutes les autres actions temporaires sont des recommandations manuelles, pas des binaires non signés.

Comment savoir qu'un vrai correctif est appliqué et fonctionnel

Ne considérez pas une commande d'installation réussie comme une preuve. Consignez séparément ces éléments :

1. L'avis officiel du fournisseur nomme la CVE et votre système d'exploitation/appareil exact.
2. Une mise à jour signée a été installée ; l'appareil ou le service concerné a été redémarré.
3. Le produit ou le paquet du noyau en cours d'exécution se trouve à une version corrigée confirmée par le fournisseur.
4. Une vérification bénigne en usage normal réussit, comme visiter une page de confiance ou tester des connexions réseau autorisées ; vérifiez les journaux du service.
5. C'est seulement alors que vous pouvez envisager de retirer le confinement temporaire et vérifier à nouveau le fonctionnement.

docs/VALIDATION.md contient les commandes exactes et une feuille de travail de preuves. Pour certains produits (y compris la chaîne non mappée d'Android et les noyaux rétroportés par les fournisseurs), le résultat doit rester inconnu / à examiner manuellement sans preuve du fournisseur.

Transfert assisté au fournisseur, pour les produits disposant d'un seuil de version publié et comparable (l'exemple utilise un avis MSRC existant) :

python scripts/vendor_handoff.py CVE-2026-33096 --os windows --version 10.0.22631.6936 --vendor-advisory-reviewed --active-version-confirmed --smoke-test-passed

Les indicateurs sont des attestations d'opérateur, et non une détection automatisée. Le résultat le plus fort est READY_FOR_CHANGE_REVIEW, jamais un retour arrière automatique ni une prétention de résistance à l'exploitation. Les versions de système d'exploitation dépourvues de seuil de version minimale vérifié sont retenues pour confirmation manuelle auprès du fournisseur.

Qu'en est-il des vulnérabilités sans correctif du fournisseur ?

Aucun correctif de code n'est inventé pour une faille non divulguée. La plupart des entrées du tableau de divulgation d'Anthropic n'exposent pas suffisamment de données techniques pour rédiger ou valider un correctif légitime. Un « correctif universel » pour noyau/périphérique ne peut pas être synthétisé de manière sûre à partir d'un nom de CVE ou d'une divulgation hachée. Utilisez une mesure de confinement réversible et étayée par des sources lorsqu'elle est disponible ; sinon, isolez ou cessez d'utiliser le service concerné.

Le catalogue data/containments.json contient dix guides conditionnels et limités de réduction de l'exposition. Ceux-ci n'établissent pas de remédiation de CVE. Un nouveau correctif automatique n'est accepté qu'après établissement du code source, d'une vulnérabilité reproductible, des versions prises en charge, des tests de régression, du retour arrière et de la revue. Voir Règles de contribution.

Distribution, langage et découverte des appareils

L'inventaire de plateforme en lecture seule facultatif identifie les familles de distributions (notamment Debian/Ubuntu, Fedora/RHEL, SUSE, Arch, Alpine, Void, Gentoo, NixOS et Fedora Atomic), l'architecture, un contexte micrologiciel limité, ainsi que la présence de chaînes d'outils de langages de programmation courants. Il n'exécute pas de chaînes d'outils ni de gestionnaires de paquets, n'installe pas de correctifs et ne certifie pas le micrologiciel.

python3 scripts/platform_inventory.py --json
python3 scripts/catalog.py inventory