Le temps qu’il fait

Période : 13 au 31 août 2026.

Vue d’ensemble

Le ciel est chargé sur plusieurs composantes essentielles des infrastructures libres. Ceph publie un correctif urgent qui modifie aussi la manière de gérer les clés CephX. Keycloak et PostgreSQL corrigent chacun une série importante de vulnérabilités. Debian 13 actualise son noyau, tandis qu’OPNsense enchaîne une version de maintenance et deux correctifs rapides. Le mot d’ordre n’est pas de tout mettre à niveau précipitamment : il faut d’abord identifier les versions réellement utilisées, lire les procédures particulières, sauvegarder, puis tester.

Alerte météo

Ceph : correctifs urgents et nouvelle rotation des clés CephX

Logiciels concernés : Ceph Squid 19.x et Tentacle 20.x.

Ceph a publié Squid 19.2.6 et Tentacle 20.2.4 pour corriger quatre vulnérabilités touchant l’authentification CephX, les jetons STS de RGW, l’autorisation du moniteur et la vérification des signatures SigV4. Le projet recommande à tous les opérateurs de procéder à la mise à niveau rapidement.

Cette mise à jour n’est toutefois pas ordinaire. Le correctif introduit une nouvelle clé CephX, aes256k, et une procédure particulière de rotation des clés. Les clients noyau doivent aussi prendre en charge ce nouveau type de clé; le support amont débute avec Linux 7.0, sauf rétroportage par la distribution. Une rotation prématurée pourrait donc rendre certains clients incapables de s’authentifier.

Risque réel : contournement d’authentification ou d’autorisation, mauvaise vérification cryptographique et interruption de clients incompatibles pendant la rotation des clés.

Action recommandée : préparer la mise à niveau sans improvisation. Lire la procédure CephX, inventorier les clients noyau, confirmer leur compatibilité auprès de la distribution, puis planifier séparément la mise à jour des démons et la rotation des clés. Les déploiements RGW multisites exigent en plus une précaution spécifique avant la mise à niveau.

Source officielle : Ceph — Squid 19.2.6 et Tentacle 20.2.4, correctifs urgents

Keycloak 26.7.3 : une importante livraison de sécurité

Logiciel concerné : Keycloak, branche 26.7.

Keycloak 26.7.3, publié le 31 août, corrige de nombreuses vulnérabilités dans OIDC, LDAP, les permissions administratives fines, les organisations, l’échange de jetons et la gestion des rôles. Parmi elles figurent le contournement d’une politique imposant des assertions JWT signées, le détournement de codes d’autorisation vers une autre session cliente, des lacunes d’autorisation et plusieurs divulgations d’information.

Risque réel : affaiblissement des frontières d’administration ou d’identité, contournement de politiques OIDC et exposition de secrets ou de renseignements associés aux comptes.

Action recommandée : traiter cette version comme une mise à niveau de sécurité, mais consulter le guide de migration et tester les parcours d’authentification, les fédérations LDAP, les rôles composites et les clients OIDC avant la production.

Source officielle : Keycloak — version 26.7.3

PostgreSQL : 28 vulnérabilités corrigées et vérifications post-mise à jour

Versions concernées : PostgreSQL 14 à 18; versions corrigées 14.24, 15.19, 16.15, 17.11 et 18.6.

La livraison du 13 août ferme 28 vulnérabilités et corrige plus de 110 anomalies. Certaines failles peuvent mener à l’exécution de code, à des lectures indésirables ou à des résultats incorrects. Le projet signale également trois situations pouvant exiger une intervention après la mise à jour : constructions parallèles d’index GIN, index btree_gist et index utilisant ltree. Un problème de relecture WAL peut aussi bloquer une réplique PostgreSQL 14, 15 ou 16 lorsqu’elle suit un primaire resté sur une version mineure plus ancienne.

PostgreSQL 14 cessera par ailleurs de recevoir des correctifs le 12 novembre 2026.

Risque réel : exposition de données, exécution de code, index ou statistiques incorrects, autovacuum inopérant sur certaines tables et réplication bloquée dans des combinaisons de versions particulières.

Action recommandée : appliquer la version mineure correspondant à la branche utilisée, vérifier la cohérence des versions entre primaire et répliques, puis exécuter les contrôles post-mise à jour prescrits si GIN, btree_gist ou ltree sont employés. Les installations PostgreSQL 14 doivent maintenant avoir un plan de migration daté.

Source officielle : PostgreSQL — versions de sécurité du 13 août 2026

Debian 13 : nouvelle mise à jour de sécurité du noyau

Version concernée : Debian 13 « Trixie »; noyau corrigé 6.12.107-1.

L’avis DSA-6477-1 du 29 août corrige treize vulnérabilités du noyau Linux pouvant provoquer une élévation de privilèges, un déni de service ou une fuite d’information.

Risque réel : compromission locale, instabilité ou divulgation d’information sur les systèmes Debian 13 non actualisés.

Action recommandée : appliquer les paquets de sécurité, prévoir le redémarrage nécessaire pour charger le nouveau noyau, puis confirmer que les services, pilotes et fonctions réseau reviennent correctement.

Source officielle : Debian — DSA-6477-1, noyau Linux

Front à surveiller

OPNsense 26.7.3 : attendre le dernier correctif de la série

Version concernée : OPNsense 26.7.3, avec correctif cumulatif 26.7.3_8 publié le 28 août.

La version 26.7.3 apporte notamment des règles received-on, les VLAN dans les ponts, OpenSSL 3.5.8, OpenSSH 10.5p1 et plusieurs correctifs FreeBSD. Deux correctifs rapides ont suivi : le premier répare notamment l’importation de la traduction d’adresses source et la prise en charge PPP; le second touche les rechargements VLAN, les adresses virtuelles, pfsync et Monit.

Risque réel : comportement inattendu du filtrage, de la traduction d’adresses ou des interfaces si l’on s’arrête à la version initiale plutôt qu’au dernier correctif cumulatif.

Action recommandée : sauvegarder la configuration, viser directement le niveau corrigé le plus récent et valider après redémarrage les VLAN, les adresses virtuelles, la synchronisation d’état, les passerelles et la traduction d’adresses.

Source officielle : OPNsense — version 26.7.3 et correctifs subséquents

Nextcloud : versions de maintenance recommandées

Versions concernées : Nextcloud 32.0.14, 33.0.8 et 34.0.3.

Nextcloud recommande ces versions mineures pour les trois branches actuellement prises en charge. Elles regroupent des correctifs de sécurité, de stabilité et de fonctionnement sans migration majeure de plateforme.

Risque réel : accumulation de vulnérabilités et d’anomalies déjà corrigées en amont sur les installations laissées à un niveau mineur antérieur.

Action recommandée : vérifier la branche utilisée, la compatibilité des applications, l’état de la sauvegarde et les tâches de fond, puis appliquer la dernière version mineure de cette même branche avant d’envisager un changement de version majeure.

Source officielle : Nextcloud — mises à jour de maintenance d’août 2026

Forgejo : le choix entre cadence rapide et LTS devient explicite

Versions concernées : Forgejo 16.0.3 et Forgejo 15.0.7 LTS.

Forgejo 16.0.3 est pris en charge jusqu’au 29 octobre 2026, tandis que la branche 15.0.7 LTS l’est jusqu’au 15 juillet 2027. Les branches 14.x et antérieures sont désormais indiquées comme abandonnées.

Risque réel : rester sur une branche qui ne reçoit plus de correctifs, ou adopter inutilement une cadence de changement rapide pour un service central à l’exploitation.

Action recommandée : pour une forge de production, privilégier la branche LTS sauf besoin fonctionnel précis de la branche 16; dans tous les cas, confirmer que la version exploitée appartient encore à une branche maintenue.

Source officielle : Forgejo — versions et périodes de soutien

Perspective Chezlepro

La météo de cette première édition rappelle une règle simple : une version « disponible » n’est pas encore une version « prête ». Ceph exige une séquence de migration cryptographique; PostgreSQL demande des contrôles après mise à jour; OPNsense a reçu deux correctifs presque immédiatement; Keycloak touche directement la chaîne de confiance. La bonne exploitation consiste donc moins à courir après les numéros de version qu’à maintenir un inventaire fiable, comprendre les dépendances et tester les transitions qui peuvent modifier l’identité, le stockage ou le réseau.