Faille critique dans le noyau : CVE-2026-31431

Bonjour tout le monde,

l'article de Korben est explicite. Je vous laisse le soin de le lire :
Copy Fail - Une IA trouve la faille Linux que personne n'a vue

Cette CVE fait couler beaucoup « d'encre » sur la toile.

Bonne lecture.

Bonjour Niuxe,

En réalité, au delà d'une faille trouvé par une IA, il faut faire un constat : beaucoup de libristes se plaisent à croire que, parce qu'un logiciel est open source et libre, alors tout le monde peut lire son code et les failles potentielles détectées seront patchées très vite.

La réalité est toute autre : dans un contexte non professionnel, il n'y a pas forcément foule pour relire le code écrit par d'autres et sans doute encore moins l'expertise. Parfois des bugs d'un niveau critique sont remontés et les tickets restent ouvert pendant des années.

Bien sûr, ici je parle uniquement des projets maintenus, pas du cimetière composé par la cohorte des projets deprecated.
Modifié par Olivier C (30 Apr 2026 - 23:07)

Bonjour Olivier,

Ce que tu dis est très juste. En outre, tu oublies un concept avec GNU/Linux (Tu remarqueras que j'indique GNU puisque c'est comme ça qu'il faut nommer correctement). Ce que tu oublies, ce sont les libertés que propose de Richard Stallman et par extension Linus Torvalds :

- Liberté 0 : La liberté d'exécuter le programme, pour tous les usages.
- Liberté 1 : La liberté d'étudier le fonctionnement du programme, et de l'adapter à vos besoins. (L'accès au code source est une condition indispensable).
- Liberté 2 : La liberté de redistribuer des copies pour aider votre prochain.
- Liberté 3 : La liberté d'améliorer le programme et de publier vos améliorations, pour que toute la communauté en bénéficie. (L'accès au code source est ici aussi indispensable).

Autour de moi, je connais quelques personnes qui après des années d'utilisations contribuent aux projets (Gentoo, Debian, Fedora, etc. ). Avec Apple et Microsoft, bonne chance. Je connais une personne qui utilisait Calculate Linux il y a quelques mois. Il a aidé la communauté à utiliser Gnome de mémoire. Depuis, il est passé sur Fedora. Il a relevé un bug et l'a en partie réglé. Les contributeurs ne sont pas toujours des gamins en caleçon dans leur chambre. Des salariés de Canonical, Red Hat, Suse, Intel, Google, etc. travaillent dessus depuis des années.

Le nombre de contributeurs sur GNU/Linux et BSD est largement supérieur aux personnes travaillant chez Apple et Microsoft. Ce n'est pas pour rien que Windows est en retard sur les innovations (sauf pour espionner l'utilisateur ). Il copie son/ses voisin/s depuis ses débuts. Si Xerox avait eu le nez fin......

Il ne faut pas oublier aussi ce principe qui commence à être mis en avant au grand public : la souveraineté technologique. Avec GNU/Linux et BSD, l'utilisateur ne dépend pas du bon vouloir d'une entité comme Microsoft ou Apple.

Richard Stallman est un idéaliste (un peu trop extrême)
Linus Torvalds est pragmatique.
Modifié par Niuxe (30 Apr 2026 - 23:24)

Oui, tout à fait, il y a des salariés dans le libre, le soucis c'est tout de même bien souvent le financement, on le voit pour Mozilla par exemple, qui avait dû licencier 1/4 de leur salariés il y a quelques temps, je ne sais pas où ils en sont aujourd'hui, je n'ai pas suivit les affaires ces derniers temps.

Et aussi parfois, c'est compliqué : Red Hat par exemple, lorsqu'ils ont changé leur modèle économique du jour au lendemain en supprimant la distribution CentOS en 2020 (CentOS "Stream" n'étant pas son équivalent), ils ne se sont pas fait que des copains dans leur communauté.

Je suis aligné comme toi par rapport à Linus Torvalds, j'aime bien son côté pragmatique. Pour entendre un thème dont on n'entend jamais parler, l'IA, il a dit que l'intelligence artificielle nous aiderait à discerner les meilleurs patterns selon le contexte ; personnellement j'ai suivi son conseil au pied de la lettre.

PS : Au fait : après tout ce temps passé, je suis toujours sous Ubuntu (hic)... MAIS ! la prochaine fois est la bonne : j'attends de finaliser un projet sur lequel je veux rester focus, et avant de passer au projet suivant je descendrais d'un niveau pour atterrir sur une Debian. Plus d'indirections ni d'overhead.

Le monde de l'IT est complètement chamboulé en ce moment. Oracle vient de licencier 30_000 personnes par SMS et mail ! Je connais 2 excellents CTO sur le carreau et un nombre incalculable de développeurs au chômage.

Une personne qui veut se reconvertir vers l'IT, je lui dis : « bonne chance ! ».

Pour CentOS en fait, ce n'est pas un si gros problème que ça. Tu as Alma Linux qui est un fork. Au moment où il y a eu le drama de CentOS, quelques uns se sont tournés vers Oracle Linux.

Ensuite, tu as Debian et même Ubuntu (avec une rallonge de support de 5 ans. Payant, je l'admets). L'OS devient moins important. La plupart des projets se passent avec Docker et Kubernetes.

Si tu es bien avec Ubuntu, reste avec cette distribution. Par contre, toujours et je dis toujours des LTS Tu éviteras le fiasco de la 17.10 (ton ordinateur te sourira)¹. Et là, ne te rue pas sur la 26.04. Attend un ou deux mois que la version se stabilise. Autant avec une Débian ou une OpenSuse LEAP, tu peux installer à la sortie. Autant avec Ubuntu, il n'est pas rare de voire du bug graphique (ce que j'avais constaté régulièrement, il y a quelques années).

Avec Debian :
1. tu as affaire au bon dieu qu'à ses saints
2. pas de concept qui finiront à la poubelle au bout de la version suivante (unity, Mir, Amazon search => spyware) . Je te parie que Snap ne va pas durer !

____
¹ affaire des BIOS corrompus : Il passait le BIOS/UEFI en mode "Lecture seule" (Read-Only). Conséquence : il devenait impossible de sauvegarder un changement de paramètre dans le BIOS. Pire : il était parfois impossible de bouter sur une clé USB pour réinstaller un autre système. Pour certains utilisateurs, cela rendait la machine inutilisable au sens logiciel du terme, car on ne pouvait plus changer l'ordre de boot ou sortir du mode de récupération.
Modifié par Niuxe (01 May 2026 - 00:24)

Dans cette nouvelle ruée vers l'or qu'est l'IA il va y avoir un ou deux gagnants (ils se profilent déjà) et beaucoup de perdants. Ça va être un massacre. Certaines entreprises perdent plus d'un milliard de dollars par mois...

Bien sûr, contrairement aux âneries que l'on entend sur les réseaux, ces développeurs ne sont pas virés parce que l'IA les a remplacé, ils sont virés car leurs grosses boîtes ont besoin de leurs salaires pour scaler leurs infrastructures.

"Par contre, toujours et je dis toujours des LTS" => ah oui, alors ça tu n'as pas besoin de me le dire : j'y ai eu droit ! Moi, je veux passer du temps sur mes projets de développement, pas passer ma vie à maintenir un système dont le but premier devrait de se faire oublier.

De toute façon ma décision est prise : je suis focus sur mon premier projet Rust (un calendrier liturgique, encore !), et une fois celui-ci opérationnel, avant de passer à autre chose je passerais sous Debian (j'adore `apt`). Plus de surcouches.
Modifié par Olivier C (01 May 2026 - 15:05)

Olivier C a écrit :

Bien sûr, contrairement aux anneries que l'on entend sur les réseaux, ces développeurs ne sont pas virés parce que l'IA les a remplacé, ils sont virés car leur grosses boîtes à besoin de leurs salaires pour scaler leurs infrasctuctures.

En effet ! Aussi, les entreprises virent à la pelle les salariés aux bullshit job. Ils sont remplaçables¹. Puis, elles veulent faire encore plus de profits sur le dos des salariés. Il n'est pas rare que l'on demande le travail de 3 à un salarié. C'est ce que l'on appelle de l'esclavage moderne.

L'avènement de l'IA est comparable à la bulle internet (1997 - 2001). La bulle IA va exploser. Les opportunistes qui n'auront pas de vision et de solutions long terme se cracheront.

Olivier C a écrit :

"Par contre, toujours et je dis toujours des LTS" => ah oui, alors ça tu n'as pas besoin de me le dire : j'y ai eu droit ! Moi, je veux passer du temps sur mes projets de développement, pas passer ma vie à maintenir un système dont le but premier devrait de se faire oublier.

Roooh, ça sent le vécu ! (de la sueur, des pleurs et du sang) À mon avis les « RGNTDJUDJU ! » ou les noms d'oiseaux volaient bas.

Olivier C a écrit :

De toute façon ma décision est prise : je suis focus sur mon premier projet Rust (un calendrier liturgique, encore !),

En effet, j'ai lu dernièrement que tu t'intéresses à Rust. Pourquoi ? Qu'est-ce qui te motive cette décision ?

Olivier C a écrit :

et une fois celui-ci opérationnel, avant de passer à autre chose je passerais sous Debian (j'adore `apt`). Plus de surcouches.

apt est la surcouche de dpkg ce que zypper est la surcouche de rpm. Debian est vraiment bien. Ce n'est pas réellement une histoire de surcouche, c'est plus une histoire de philosophie de la distribution. Avec Canonical, ça part dans tous les sens. Avec Debian, il faut se dire : fiabilité et stabilité. Pendant longtemps, Debian était jugée comme l'arrière-boutique GNU/Linux. Les vieilles versions des paquets étaient légion. C'est encore le cas. Debian, c'est et sera toujours fiable, pragmatique, ultra-stable. En outre, j'ai été agréablement surpris que Debian 13, c'est Gnome 48 (dernière version lors de sa sortie). Debian a réussi à accélérer son rythme sans sacrifier sa solidité. On ne peut plus dire que c'est une « distribution de musée ». Migrer vers Debian, tu ne le regretteras pas³. En outre, garde à l'esprit que c'est encore le cas : « Do it yourself ». Ce qui est en fait l'essence même de GNU/Linux !

Pendant des années, j'utilisais OpenSuse (Evergreen puis Leap)². Je peux dire que j'ai été très heureux de l'utiliser. Actuellement, Suse fait un vrai changement dans sa distribution. Si on installe une Leap, on va devoir mettre les mains dans le cambouis. LEAP 16 est une version transitoire. Ce n'est plus vraiment une distribution clef en main comme auparavant. Pourquoi ce chamboulement ? Suse va mettre un grand coup de pied dans la fourmilière. Je pense même qu'ils sont en train de vouloir concurrencer Red Hat et Microsoft. Je te la fais courte :
- l'admin système demande à l'OS : « installe moi X »
- l'OS : « X installé »
- l'admin système demande à l'OS : « cherche et corrige moi les failles de sécurité »
- l'OS : « faille Y trouvée - Faille Y corrigée »
__
¹ loi de Wilson : « Si vous priorisez la connaissance et l'intelligence, l'argent continuera à venir. »
² l'équivalent de « LTS »
³ En complément de l'install de Synaptic, regarde du côté de cockpit. Bien que je fasse tout en ligne de commande et que Cockpit ne m'intéresse pas trop, cet outil avec ses extensions pourrait te séduire.
Modifié par Niuxe (01 May 2026 - 15:33)

Bonjour,
ce n'est pas la première fois, il y a déjà eu des failles découvertes, que personne n'avait vues, notamment chez Debian.
La question à se poser est : quelles ont été les conséquences réelles de cette faille, mis à part la petite satisfaction de ceux qui n'ont toujours pas digéré le libre et Linux ?

Niuxe a écrit :
J'ai lu dernièrement que tu t'intéresses à Rust. Pourquoi ? Qu'est-ce qui te motive cette décision ?

Je n'ai pas choisi Rust, j'ai choisi des architectures... qui in fine m'ont conduit à Rust. Rust c'est accidentel.

Tout ça a commencé il y a un an, à peu près à la même époque que maintenant : j'étais sous Fastify, donc Node.js, j'étais en train de concevoir un service worker pour paralléliser du taitemment d'images en multithread... Tout d'un coup je me suis dit : "Pourquoi je m'échine à écrire des scripts et à me battre contre l'écosystème Node alors que des stacks gérent la concurrence nativement ?" Quelques mois passent. Pendant les vacances d'été, loin de tout ordinateur, mais équipé d'un smartphone, j'ai fait le tour des caractéristiques des moteurs d'exécution JIT. Je me suis dit que pour la rentrée j'opterais pour un langage compilé. Les langages fonctionnels me faisaient de l'oeil, j'ai opté pour F# en raison d'un pragamatisme puisque lié à l'écosystème .NET que j'ai trouvé très intéressant, depuis les 10 ans du passage en open source. Au final j'ai fait du C# et F# avec interop', pour un moteur de jeu vidéo.

Mais, et c'est à ce moment-là que ça devient intéressant, lors de la création de ce moteur (pour un RPG 2D) j'ai "reconnu" de manière formelle (plutôt que totalement découvert), des patterns dont je ne connaissais pas le nom mais dont j'avais des intuitions plus ou moins claires auparavant :
- AOT (Ahead-of-time) : tout ce qui peut être résolu avant le runtime doit l'être (c'est de l'anti-JIT)
- DOD (Data-Oriented Design) : organiser les données par usage (et non par objet) pour le CPU
- ECS (Entity Component System) : on range les composants par type (contiguëment), et un système itère sur tous les composants d'un même type
En clair, j'ai découvert que j'ai une mentalité orienté bas niveau et compilateur, résolument data-driven.

J'applique désormais ces principes partout, selon ce que l'écosystème traversé peu permettre. C'est ainsi qu'un simple script front devient un moteur ECS, ou même une base de donnée. Un calendrier liturgique recherchera une adresse en 2 ou 3 cycles CPU, accès O(1), en ne dépassant jamais le cache L3.

Disons que ce que je faisais de manière artisanale et naïve auparavant (mes task runner sous Grunt, puis Gulp, puis pnpm, il y a déjà 10 ans) je l'ai industrialisé en transposant mes patterns architecturaux partout. Bref, il ne s'agit pas de Rust, qui pour moi est un détail d'implémentation, même en mode no_std, en fait je suis devenu accro aux architectures systèmes, je suis définitivement tombé sur côté obscur du bas niveau et des compilateurs.

Edit : En réalité, au delà de l'architecture : j'aime prendre les données chaotiques d'un domaine pour les rendre totalement déterministes après être passées dans un pipeline AOT, après cette étape de compilation on fera en sorte que l'Engine soit le plus stupide possible, idéalement sans rien calculer (et donc terriblement rapide), son rôle se borne alors à la projection d'une vue sur mémoire (comme dans le cas du calendrier plus haut).
Modifié par Olivier C (05 May 2026 - 10:59)