On parle souvent de souveraineté numérique, mais concrètement, on ferait quoi ? La réponse tiendrait en deux noms : Sécurix et Bureautix. En s'appuyant sur NixOS, une distribution Linux radicalement différente, le gouvernement préparerait discrètement l'après-Windows pour ses agents.
This week, we got a major release of the GNOME desktop environment, lots of software releases including FFmpeg 8.1, Blender 5.1, KiCad 10.0, OpenShot 3.5, PipeWire 1.6.2, and KDE Plasma 6.6.3, as well as a few distro releases including antiX 26, SparkyLinux 2026.03, Fedora Asahi Remix 43, and Emmabuntüs DE 6 1.01.
On top of that, I tell you all about the new Linux-powered computers from TUXEDO Computers and System76. Below, you can check out this week’s hottest news and access all the distro and package downloads released this past week in the 9to5Linux roundup for March 22nd, 2026.
Un énorme chantier, dont l’objet est de « réduire la dépendance numérique extra-européenne », explique la DINUM, et qui concernera d’ici la fin d’année l’ensemble des ministères. Dans un contexte géopolitique tendu, et après un sursaut de lucidité sur l’énorme retard accumulé par l’Europe dans le développement de ses propres outils numériques, cette annonce est aussi prometteuse que tardive.
Linux a le vent en poupe
Concrètement, la Direction interministérielle du numérique annonce ni plus ni moins que « sa sortie de Windows au profit de postes sous système d’exploitation Linux ». En clair, les ordinateurs de la DINUM n’utiliseront plus le système d’exploitation phare de Microsoft, mais une distribution Linux non précisée. Une bascule qui a pour but de réduire la dépendance du ministère aux outils américains, mais qui devrait également renforcer la sécurité des infrastructures – Linux ayant meilleure réputation sur ce point.
Si l’annonce est inédite pour un ministère, elle ne l’est pas réellement à l’échelle française. La gendarmerie nationale utilise en effet Linux depuis 2008 et, à l’échelle locale, plusieurs municipalités (notamment lyonnaises) ont annoncé l’an dernier tourner le dos à Windows au profit du système représenté par un manchot.
Si le système d’exploitation est l’arbre qui cache la forêt, c’est en réalité l’ensemble des outils numériques utilisés par les ministères qui vont évoluer. Pour l’instant non contraignantes, les recommandations de la DINUM encouragent notamment les administrations à utiliser les outils de la Suite numérique, comprenant notamment des alternatives à Google Meet (Visio) et d’autres plateformes américaines.
Un gros chantier
D’ici l’automne prochain, indique la DINUM, « chaque ministère (opérateurs inclus) sera tenu de formaliser son propre plan […], portant sur les axes suivants : poste de travail, outils collaboratifs, anti-virus, intelligence artificielle, bases de données, virtualisation, équipements réseau ». Autant dire que les responsables de parcs informatiques ne vont pas chômer, et que les agents vont devoir passer par la case formation à plus d’une reprise. Linux a beau être un système ouvert, son fonctionnement est très différent de celui de Windows et nécessite une adaptation.
« Nous devons nous désensibiliser des outils américains et reprendre le contrôle de notre destin numérique. Nous ne pouvons plus accepter que nos données, nos infrastructures et nos décisions stratégiques dépendent de solutions dont nous ne maîtrisons ni les règles, ni les tarifs, ni les évolutions, ni les risques », a réagi le ministre David Amiel.
Un énorme chantier, dont l’objet est de « réduire la dépendance numérique extra-européenne », explique la DINUM, et qui concernera d’ici la fin d’année l’ensemble des ministères. Dans un contexte géopolitique tendu, et après un sursaut de lucidité sur l’énorme retard accumulé par l’Europe dans le développement de ses propres outils numériques, cette annonce est aussi prometteuse que tardive.
Linux a le vent en poupe
Concrètement, la Direction interministérielle du numérique annonce ni plus ni moins que « sa sortie de Windows au profit de postes sous système d’exploitation Linux ». En clair, les ordinateurs de la DINUM n’utiliseront plus le système d’exploitation phare de Microsoft, mais une distribution Linux non précisée. Une bascule qui a pour but de réduire la dépendance du ministère aux outils américains, mais qui devrait également renforcer la sécurité des infrastructures – Linux ayant meilleure réputation sur ce point.
Si l’annonce est inédite pour un ministère, elle ne l’est pas réellement à l’échelle française. La gendarmerie nationale utilise en effet Linux depuis 2008 et, à l’échelle locale, plusieurs municipalités (notamment lyonnaises) ont annoncé l’an dernier tourner le dos à Windows au profit du système représenté par un manchot.
Si le système d’exploitation est l’arbre qui cache la forêt, c’est en réalité l’ensemble des outils numériques utilisés par les ministères qui vont évoluer. Pour l’instant non contraignantes, les recommandations de la DINUM encouragent notamment les administrations à utiliser les outils de la Suite numérique, comprenant notamment des alternatives à Google Meet (Visio) et d’autres plateformes américaines.
Un gros chantier
D’ici l’automne prochain, indique la DINUM, « chaque ministère (opérateurs inclus) sera tenu de formaliser son propre plan […], portant sur les axes suivants : poste de travail, outils collaboratifs, anti-virus, intelligence artificielle, bases de données, virtualisation, équipements réseau ». Autant dire que les responsables de parcs informatiques ne vont pas chômer, et que les agents vont devoir passer par la case formation à plus d’une reprise. Linux a beau être un système ouvert, son fonctionnement est très différent de celui de Windows et nécessite une adaptation.
« Nous devons nous désensibiliser des outils américains et reprendre le contrôle de notre destin numérique. Nous ne pouvons plus accepter que nos données, nos infrastructures et nos décisions stratégiques dépendent de solutions dont nous ne maîtrisons ni les règles, ni les tarifs, ni les évolutions, ni les risques », a réagi le ministre David Amiel.
Connu pour ses ordinateurs réparables et modulables, Framework a aussi été un des constructeurs les plus transparents sur les impacts de la crise de la RAM sur son business. L’entreprise vient d’aller un cran plus loin avec un teasing de nouveaux produits sous forme de manifestes pour l’informatique personnelle.
Valve veut faciliter la vie des joueurs sur Linux avec une série de mises à jour pour le noyau Linux à destination des cartes graphiques avec peu de mémoire vidéo. Ces améliorations seront aussi disponibles pour le Steam Deck.
Le Gouvernement franchit une étape importante dans sa quête pour une indépendance numérique. L’administration française ne doit plus dépendre d’outils dont elle ne maîtrise ni les tarifs, ni les règles, ni la sécurité.
Le Gouvernement franchit une étape importante dans sa quête pour une indépendance numérique. L’administration française ne doit plus dépendre d’outils dont elle ne maîtrise ni les tarifs, ni les règles, ni la sécurité.
La direction du numérique en France va basculer de Windows à Linux et l'État engage un grand chantier de réduction de la « dépendance numérique extra-européennes »
Redox OS vient de publier son dernier rapport d'avancement et il y a du nouveau. En plus des progrès sur les pilotes graphiques et le bureau COSMIC, le projet open source a adopté une politique stricte : toute contribution générée par une intelligence artificielle sera refusée et son auteur banni. Carrément.
Du code IA ? Dehors.
Redox OS ne veut pas de code écrit par ChatGPT, Copilot ou tout autre modèle de langage. La règle est inscrite dans les directives de contribution du projet : toute soumission identifiée comme générée par un LLM (issues, merge requests, descriptions) sera immédiatement fermée. Et quiconque tente de contourner la règle se fait bannir du projet. Le tout est présenté comme non négociable.
Redox OS rejoint d'autres projets open source qui ont pris la même direction ces derniers mois, comme Fedora, Gentoo, le projet Rust lui-même ou LLVM, qui ont tous eu à gérer des vagues de contributions de mauvaise qualité générées par IA.
COSMIC, GPU et nouveau scheduler
En parallèle, le mois de mars a été productif côté technique. La démo libcosmic tourne désormais dans le compositeur COSMIC sur Redox, ce qui veut dire qu'on se rapproche d'un vrai bureau utilisable. Les pilotes graphiques ont aussi avancé : support du mapping mémoire GPU sur le pilote Intel, mise en place de shadow buffers pour améliorer les performances, et du travail sur l'API DRM.
Le noyau a aussi reçu un nouveau planificateur de tâches (Deficit Weighted Round Robin) et une meilleure détection des deadlocks. Côté paquets, CPython, PHP, Nano et Vim ont été mis à jour avec le support Unicode via ncursesw.
Un OS ecrit en Rust, pour quoi faire ?
Pour ceux qui ne connaissent pas, Redox OS est un système d'exploitation open source entièrement écrit en Rust, avec une architecture microkernel. Le projet existe depuis 2015 et cherche à proposer une alternative à Linux et BSD, avec la sécurité mémoire de Rust comme argument principal.
Il est porté par Jeremy Soller, qui travaille aussi chez System76 sur Pop!_OS. Redox n'est pas encore prêt pour un usage quotidien, mais chaque mois le rapproche un peu plus d'un système fonctionnel, et l'arrivée du bureau COSMIC est un gros morceau.
Interdire le code IA dans un projet open source en 2026, c'est quand même une prise de position forte. On peut comprendre la démarche : quand on construit un noyau de système d'exploitation, la qualité du code compte, et les contributions générées par IA ont tendance à créer plus de travail qu'elles n'en économisent pour les mainteneurs.
Mais bon, la politique reconnaît elle-même qu'il est impossible de détecter du code IA non étiqueté, ce qui pose la question de l'efficacité réelle de la mesure. Côté technique, voir COSMIC tourner sur Redox est une bonne nouvelle pour tous ceux qui suivent le projet de près. Après dix ans de développement, l'OS en Rust commence à ressembler à quelque chose.
This week, open met open. In this case, it was open source software, in the form of AlmaLinux Kitten, meeting open source hardware, in the form of the RISC-V instruction set architecture.
Le noyau Linux 7.1 devrait supprimer la possibilité de compiler un noyau pour les processeurs Intel 486. C'est la première fois depuis 2012 qu'une architecture processeur est retirée du noyau, et le minimum requis passera du 486 au Pentium. L'Intel 486 a 37 ans.
Un processeur de 1989
L'Intel 486 est sorti en 1989. C'est le processeur qui a fait passer les PC de la ligne de commande au monde graphique, et il a été vendu pendant une bonne partie des années 90.
Le 486SX, sa version sans coprocesseur mathématique, et l'AMD Elan, une variante embarquée, sont aussi concernés par cette suppression. Le patch a été proposé par Ingo Molnar, un des développeurs historiques du noyau Linux.
La dernière fois que Linux a retiré le support d'une architecture processeur, c'était en 2012, quand le 80386 avait été abandonné. Ca fait donc 14 ans que personne n'avait touché à ce genre de nettoyage.
Du ménage dans le code
Le patch supprime trois options de configuration du noyau : M486, M486SX et MELAN. Sans ces options, il ne sera plus possible de compiler un noyau Linux spécifiquement pour un 486. Le processeur minimum deviendra le Pentium, qui supporte les instructions TSC et CMPXCHG8B, deux fonctions que le 486 ne gère pas.
Molnar explique que le code de compatibilité pour ces vieux processeurs pose régulièrement des problèmes et demande du temps de maintenance que les développeurs préfèrent consacrer à autre chose. Linus Torvalds avait d'ailleurs déclaré dès 2022 que les processeurs 486 n'étaient plus utilisés que comme pièces de musée.
Et le 32 bits, alors ?
Le retrait du 486 ne veut pas dire que Linux abandonne le 32 bits. Le noyau continue de supporter les architectures 32 bits, et il y a encore suffisamment de processeurs Atom et de systèmes embarqués 32 bits en circulation pour que ça reste le cas un moment.
Mais la tendance est claire : l'avenir de Linux sur x86 est en 64 bits, et le code 32 bits finira par suivre le même chemin que le 486.
Aucune distribution Linux récente ne proposait de toute façon un noyau compilé pour 486. Les utilisateurs qui font tourner Linux sur ce type de matériel pourront continuer avec des noyaux plus anciens.
Ca concerne très peu de monde en pratique, mais c'est quand même un petit moment d'histoire informatique. Le 486 a été le premier vrai processeur grand public chez Intel, et le voir disparaître du noyau Linux après 37 ans de bons et loyaux services, ça fait quelque chose.
En tout cas les développeurs du noyau semblent soulagés de pouvoir enfin faire le ménage. Pour la petite histoire, mon premier PC était un 386 SX25, et je suis ensuite passé directement au Pentium 60 (celui qui avait le bug de la virgule flottante), je trouve ça dingue qu'avec tous les ordinateurs que j'ai eu chez moi, je n'ai jamais eu de 486 !
Le système de distribution d'applications Linux vient de publier la version 1.16.4, qui corrige quatre failles de sécurité découvertes dans son mécanisme de bac à sable.
La plus critique permettait à une app de sortir de son environnement isolé pour accéder à tous les fichiers de la machine et y exécuter du code. Le Steam Deck et la plupart des grandes distributions sont concernés.
Quatre failles, dont une critique
Flatpak, c'est le format de distribution d'applications qui s'est imposé sur Linux ces dernières années. Son principe : chaque application tourne dans un bac à sable isolé du reste du système, un peu comme sur iOS. C'est aussi le format utilisé par le Steam Deck de Valve pour installer des applications en mode bureau.
La version 1.16.4, publiée le 7 avril, corrige quatre failles de sécurité. La plus grave, référencée CVE-2026-34078, est une vraie mauvaise surprise : une application pouvait exploiter des liens symboliques dans les options d'exposition du portail Flatpak pour accéder à l'intégralité des fichiers de la machine hôte, et même y exécuter du code.
Des fichiers supprimés et des téléchargements détournés
La deuxième faille (CVE-2026-34079) permettait de supprimer des fichiers sur la machine hôte en passant par un bug dans le cache du chargeur dynamique ld.so. Flatpak supprimait les fichiers de cache obsolètes sans vérifier que le chemin fourni par l'application pointait bien vers le bon répertoire.
Deux autres problèmes ont aussi été corrigés : l'un permettait de lire des fichiers via le service système de Flatpak, l'autre de perturber le téléchargement d'une application lancé par un autre utilisateur, sans possibilité de l'arrêter proprement.
Qui doit mettre à jour
Toutes les distributions Linux qui utilisent Flatpak sont concernées, et c'est un paquet de monde : Fedora, Ubuntu, Linux Mint, SteamOS sur le Steam Deck, et bien d'autres.
La mise à jour vers la version 1.16.4 est disponible, ou le sera très vite, via les canaux habituels de chaque distribution. Si vous utilisez un Steam Deck en mode bureau avec des apps Flatpak installées via Discover, la mise à jour devrait arriver automatiquement.
C'est quand même un comble : un système conçu pour isoler les applications qui laisse une porte grande ouverte vers tout le système. Que Flatpak se fasse prendre en défaut sur son coeur de métier, ça fait un peu désordre.
Bon par contre, la réactivité a été bonne : la faille a été identifiée et corrigée, et les détails n'ont été publiés qu'avec le correctif disponible. C'est la base, mais au moins c'est fait.
CUPS, le système d'impression utilisé par macOS et la plupart des distributions Linux, est touché par deux nouvelles vulnérabilités. Elles ont été trouvées par des agents d'intelligence artificielle, et permettent une exécution de code à distance.
Aucun correctif officiel n'est disponible pour le moment, et les preuves de concept sont déjà publiques. Les environnements professionnels sont les premiers concernés.
Quand l'IA fait le boulot des chercheurs en sécurité
C'est un ingénieur sécurité de SpaceX, Asim Manizada, qui a publié les détails de ces deux failles. Le plus surprenant, c'est qu'il ne les a pas trouvées tout seul. Il a utilisé des
agents IA
pour analyser le code de CUPS et débusquer les problèmes.
Son travail s'inspire des recherches de Simone Margaritelli, qui avait déjà montré en 2024 comment enchaîner plusieurs failles CUPS pour exécuter du code à distance sur des machines Linux.
Les deux vulnérabilités portent les références CVE-2026-34980 et CVE-2026-34990. Elles touchent CUPS 2.4.16 et peuvent être combinées pour un résultat assez redoutable.
Deux failles qui se complètent
La première faille permet à un attaquant d'envoyer une tâche d'impression sur une file PostScript partagée, sans aucune authentification.
CUPS accepte par défaut les requêtes anonymes sur les files partagées, et un mécanisme d'échappement de caractères permet d'injecter du code qui sera exécuté en tant qu'utilisateur "lp". En pratique, un attaquant peut forcer le serveur à lancer un programme de son choix.
La seconde faille concerne l'authentification du démon cupsd. Un utilisateur local sans privilège peut tromper le service pour qu'il s'authentifie auprès d'un faux serveur IPP contrôlé par l'attaquant.
Le jeton récupéré permet alors d'écraser n'importe quel fichier avec les droits root. Combinées, les deux failles donnent à un attaquant distant et non authentifié la possibilité d'
écraser des fichiers système
en tant que root.
Pas de patch, mais des correctifs dans les tuyaux
Pour le moment, aucune mise à jour officielle de CUPS n'a été publiée. Michael Sweet, le créateur et mainteneur du projet, a mis en ligne des correctifs sur GitHub, mais il n'y a pas encore de version patchée à télécharger.
Manizada prévient que ces failles seront faciles à reproduire, vu que les preuves de concept sont publiques et que les modèles de langage actuels peuvent transformer un rapport technique en exploit fonctionnel en quelques minutes.
Côté impact, CUPS est le système d'impression par défaut de macOS et de la quasi-totalité des distributions Linux. Pour être vulnérable, il faut que le serveur CUPS soit accessible sur le réseau avec une file d'impression partagée configurée, ce qui est courant dans les environnements professionnels.
C'est quand même un drôle de signal. D'un côté, l'IA montre qu'elle sait trouver des failles de sécurité plus vite que les humains. De l'autre, les mainteneurs open source galèrent toujours autant pour sortir les correctifs à temps. Manizada lui-même le dit : les modèles de langage peuvent convertir un simple rapport technique en code d'attaque prêt à l'emploi.
Du coup, entre la divulgation d'une faille et le premier exploit, on parle de quelques heures, pas de quelques semaines. Si vous gérez des imprimantes en réseau, le plus prudent reste de couper le partage des files CUPS en attendant le patch, ou au moins de restreindre l'accès réseau au service. Pas très pratique, mais c'est le prix à payer quand le système d'impression a vingt ans de code derrière lui.
Vous vous souvenez de BadUSB ? Mais siiii, c'est ce truc dévoilé en 2014 à la Black Hat qui avait foutu la trouille à tout le monde. Ça montrait qu'un simple périphérique USB pouvait se faire passer pour un clavier et balancer des commandes à votre place. Hé bien depuis, les attaques se sont bien raffinées et c'est pourquoi un dev vient de proposer un module kernel Linux capable de détecter ces saloperies.
Enfin !
Ce module s'appelle
hid-omg-detect
et c'est signé Zubeyr Almaho. Le patch (déjà en v2) a été soumis le 4 avril dernier sur la LKML. Alors je pense que vous allez vous dire que c'est encore un truc qui va bloquer par défaut vos périphériques USB sauf que non, ça ne bloque rien. En fait, il surveille passivement les périphériques HID (claviers, souris...) et leur attribue un score de suspicion basé sur trois critères.
D'abord, l'entropie des frappes clavier. Un humain tape de manière irrégulière, avec des pauses, des hésitations, des fautes (perso je fais au moins 3 fautes de frappe par phrase ^^). Un câble trafiqué, lui, balance ses commandes avec une régularité de métronome, genre 500 caractères en 2 secondes sans une seule erreur. Ensuite, y'a la latence entre le branchement et la première frappe. Si votre "clavier" commence à taper immédiatement après avoir été branché... y'a comme un souci. Et enfin, le fingerprinting des descripteurs USB pour repérer les vendor/product IDs suspects ou les anomalies dans les descripteurs HID.
Pas con hein ? Et si le score dépasse un certain seuil (configurable), hop, le module balance un warning dans dmesg et vous oriente vers
USBGuard
pour bloquer le périphérique. Parce que hid-omg-detect ne touche à rien lui-même. Il sonne juste l'alarme, et c'est à vous d'agir !
Mais alors pourquoi lancer ça maintenant ?
Hé bien parce que les outils d'attaque USB sont devenus légion ! Les
câbles O.MG
(créés par le chercheur MG et distribués via Hak5), par exemple, ça ressemble à un câble USB lambda que vous emprunteriez sans réfléchir pour charger votre téléphone. Sauf que dedans y'a un implant WiFi capable d'injecter des frappes, de les logger, de spoofer les identifiants USB, le tout contrôlable à distance. Quand je pense qu'il y a quelques mois,
des chercheurs montraient qu'une simple webcam Lenovo pouvait être transformée en dispositif BadUSB
... Sa fé grav réchéflir 🤓 comme dirait les citoyens souverains ^^.
Maintenant, en attendant que le patch soit accepté, vous n'êtes pas totalement démunis non plus. Des outils comme
USBRip
(un script Python, pip3 install usbrip) permettent déjà de tracer les connexions et déconnexions USB en parsant /var/log/syslog. Y'a pas ce scoring d'anomalies, mais au moins vous avez un historique pour savoir qui a branché quoi et quand. Et si vous êtes vraiment parano (et franchement, vous avez raison de l'être), USBGuard peut carrément whitelister vos périphériques de confiance et bloquer tout le reste. Mais le problème d'une telle solution c'est que ça demande de maintenir une liste blanche à jour, ce qui n'est pas toujours pratique quand on branche 15 trucs par jour.
On verra si les mainteneurs du kernel l'accepte... Après ça ne protégera pas contre tous les scénarios non plus. Un périphérique qui attend 30 secondes avant de commencer son injection pourrait passer sous le radar. Et si un attaquant injecte du jitter aléatoire dans ses frappes pour simuler un humain, là ce sera plus compliqué. Mais combiné avec USBGuard, ça donnera enfin une vraie ligne de défense native contre les
attaques par périphériques USB piégés
. Et c'est quand même mieux que de boucher ses ports au plâtre et ciment (Mais pleure pas au dessus du mortier...) !
Based on the latest Fedora Linux 43 release and using the KDE Plasma 6.6 desktop environment by default, Fedora Asahi Remix 43 is here to introduce support for the Mac Pro, support for microphones in M2 Pro/Max MacBooks, and support for 120Hz refresh rates for the built-in displays on MacBook Pro 14/16 models.
Connexion
