Defender Linux : tester la version d’octobre corrigeant libcurl et durcissant la quarantaine
Microsoft documente deux améliorations de sécurité dans Defender for Endpoint Linux 101.26091.0003 : une mise à niveau de libcurl contre CVE-2026-9546 et un durcissement des opérations de quarantaine. Les équipes exploitant déjà cet agent doivent vérifier sa disponibilité dans leur dépôt, puis contrôler la mise à jour et la santé du produit avant élargissement.
- Impact
- machines Linux équipées de l’agent Defender autonome ; ces notes ne concernent ni l’antivirus Windows ni le plug-in WSL.
- Action
- vérifier le paquet proposé dans le canal habituel, tester la mise à jour sur une machine représentative et comparer version, santé et remontée EDR avant/après.
- Statut
- À tester
Deux changements, sans nouvelle alerte d’exploitation
Les notes de version Microsoft rattachent la build à octobre 2026, sans donner de jour de sortie. Elles indiquent :
- l’intégration de libcurl 8.22.0 pour traiter CVE-2026-9546 ;
- des contrôles d’autorisation et une protection contre la manipulation de chemins dans les opérations de quarantaine, afin de prévenir une élévation de privilèges.
Le second changement n’est associé à aucune CVE dans cette entrée. Les sources consultées ne permettent pas d’affirmer une exploitation active de l’un ou l’autre problème.
L’avis officiel curl du 24 juin 2026 décrit la persistance indue d’un en-tête HTTP Referer après sa suppression demandée, avec risque de divulgation d’informations. L’éditeur classe cette faille Low et précise que l’outil curl en ligne de commande n’est pas affecté.
Il faut distinguer les versions : libcurl est corrigé à partir de 8.21.0, ainsi que dans 8.20.1 pour la branche 8.20.x ; 8.22.0 est la version intégrée par Microsoft dans cette livraison. La build Defender citée est celle dont les notes documentent ces changements, pas un premier seuil historique de correction établi pour toutes les branches.
Le traitement aujourd’hui porte donc sur l’intégration des corrections dans Defender, pas sur la découverte d’une CVE en octobre.
Contrôler le déploiement de l’agent, pas seulement les signatures
Sur un système déjà pris en charge, vérifier que le dépôt et le canal habituels proposent la version documentée. La page de notes ne précise pas sa disponibilité détaillée par canal : ne pas basculer vers un canal Preview uniquement pour obtenir un numéro supérieur. Si elle manque, examiner la synchronisation du dépôt ou attendre la confirmation de disponibilité sur le canal retenu.
Mettre à jour le paquet mdatp avec le gestionnaire de paquets adapté à la distribution et les privilèges d’administration requis. Une actualisation des signatures ne constitue pas une mise à jour de l’application.
Avant et après cette opération, exécuter dans un terminal Linux la commande de consultation documentée, sans élévation explicitement demandée par la référence :
mdatp health
Comparer app_version à la version du paquet installé et examiner healthy, health_issues, release_ring et edr_client_version. Ce dernier champ décrit le client EDR exécuté ; son numéro n’est pas à assimiler à celui de l’application. Vérifier également que les événements récents continuent d’arriver dans Defender.
Le critère de poursuite proposé par PatchFactory est une version applicative cohérente avec le paquet, un état sain sans nouveau problème et une télémétrie continue. En cas d’écart, suspendre l’élargissement et diagnostiquer la mise à jour ; ne pas déclarer la machine corrigée sur le seul succès du gestionnaire de paquets. Aucun redémarrage systématique n’est prescrit par les notes de cette version.
La prise en charge des postes Linux reste en Public Preview dans le journal produit ; cette livraison ne la transforme pas en GA. Aucun paquet ni agent n’a été installé ou testé pour cet article.