Arch Linux 2026.09.01 passe au noyau 7.2.2 et replace la vigilance AUR au centre
Le 1er septembre 2026, Arch Linux publie son ISO mensuel 2026.09.01, première image à embarquer un noyau de la série 7.2. Pour l’utilisateur existant, rien à télécharger : la mise à jour passe par pacman, et le vrai risque se niche dans l’AUR et les transitions d’infrastructure.
1er septembre 2026. Arch Linux publie son snapshot mensuel 2026.09.01. 7.2.2. C’est le noyau embarqué, première apparition d’une série 7.2 sur une ISO mensuelle. 1,5 Go. C’est la taille de l’image, destinée aux seules installations neuves. Pourquoi c’est important : sur une rolling release, l’ISO n’est pas une version à installer, c’est un état de santé de l’écosystème — et celui d’août révèle des transitions qui mordent bien plus que le numéro de noyau.
L’ISO, un instantané de la rolling release
Il faut rappeler la mécanique d’Arch Linux pour lire correctement cette sortie. Contrairement à Ubuntu ou Fedora, il n’y a pas de version majeure à mettre à niveau : le système évolue en continu, et pacman -Syu maintient une installation à jour indéfiniment. L’ISO mensuelle ne sert qu’à poser un système neuf sur une machine, avec un ensemble de paquets cohérent au moment de la gravure.
Ce que le snapshot 2026.09.01 fige, c’est un Arch passé en août au noyau 7.2.2 — compilé le 28 août — là où l’ISO de juillet portait un 7.1.5. C’est la première fois qu’un noyau de la branche 7.2 figure sur une image d’installation. Derrière ce numéro, l’ensemble de la pile a bougé : GCC 16.2.1, glibc 2.44, Python 3.14.7 et mkinitcpio 41.1 forment le socle, complétés par OpenSSH 10.5p1, OpenSSL 3.6.4 et iproute2 7.2.0.
La pile graphique et la virtualisation suivent
Le volet graphique a connu une remise à niveau substantielle. Mesa 26.2.1 arrive avec ses pilotes Vulkan pour AMD, Intel, Nouveau, Panfrost et Freedreno. Côté NVIDIA, les dépôts sont passés à la série 610.57.04 avec les variantes nvidia-open, nvidia-open-dkms et nvidia-open-lts. Sur le bureau, KDE Plasma 6.7.4, KDE Frameworks 6.29, GNOME Shell 50.4 et COSMIC Desktop 1.7 sont en place, aux côtés de LibreOffice 26.8, Firefox 154, Chromium 152 et Vivaldi 8.1.
Pour l’auto-hébergeur, le reste du snapshot importe davantage : QEMU 11.1, libvirt 12.6, VirtualBox 7.2.16, et surtout Docker 29.7.2, Docker Compose 5.5, containerd 2.3.4 et Podman 6.1. Une machine Arch qui sert de box de virtualisation ou d’hôte de conteneurs reçoit là l’essentiel de ses outils à jour, sans action particulière autre que le pacman -Syu habituel.
Ce que vaut une ISO datée
Au-delà de l’installation, une ISO mensuelle est un outil de reproductibilité. Graver 2026.09.01 garantit de partir d’un état précis — noyau 7.2.2, glibc 2.44, GCC 16.2.1 — plutôt que d’un état roulant capturé à un instant donné par pacman. C’est ce qui compte quand on déploie plusieurs machines identiques ou qu’on documente une procédure qu’une autre équipe devra rejouer six mois plus tard. L’image datée devient alors un point de référence, pas seulement un installateur. Et cette régularité ne doit rien au hasard : le projet, né en 2002 et toujours actif en 2026, tient ce rythme mensuel depuis vingt-quatre ans.
Les trois transitions qui mordent vraiment
Le numéro de noyau attire l’œil, mais trois changements d’infrastructure, tous antérieurs à août, continuent de casser des installations d’utilisateurs qui les découvrent au mauvais moment. Le premier : le backend iptables par défaut est passé à nftables en avril, et quiconque restaure d’anciens scripts de pare-feu basés sur iptables se heurte à un système qui ne les applique plus tel quel. Le deuxième : NVIDIA a abandonné le support des cartes Pascal et antérieures avec le pilote 590, et a basculé les paquets principaux vers les Open Kernel Modules — un changement qui touche les machines en double GPU et les configurations propriétaires. Le troisième : le paquet Varnish a été renommé vinyl-cache en mai, ce qui brise silencieusement toute dépendance ou script qui ciblait l’ancien nom.
Aucune de ces transitions n’est nouvelle en septembre, mais leur accumulation dans un même snapshot mensuel en fait le bon moment pour les recenser. C’est l’intérêt d’une ISO datée : elle donne un point de comparaison stable pour mesurer ce que la distribution a réellement déplacé.
L’AUR, le vrai risque d’approvisionnement
Le signal le plus important de cette sortie n’est pas technique au sens strict : c’est le rappel, fait par Linux Compatible dans son tour d’horizon, de l’incident de paquets malveillants dans l’AUR survenu en juin. Des prises de contrôle malveillantes de paquets ont été détectées, avec un volume élevé d’adoptions suspectes et de mises à jour. Le AUR compte désormais plus de 49 000 scripts de construction, face à environ 15 770 paquets officiels — un ratio qui rend la revue manuelle de chaque PKGBUILD difficile, et la confiance aveugle dangereuse.
# Utilisateurs existants : la rolling release passe par pacman, pas par l'ISO
sudo pacman -Syu
# Pour l'AUR : relire le PKGBUILD avant de compiler, pas seulement à la dernière version
makepkg -siLa discipline tient en une règle : tout paquet issu de l’AUR est un code tiers à auditer comme un fournisseur. Relire le PKGBUILD, vérifier la source de téléchargement et épingler les versions qu’on a validées est le minimum. Le projet, dirigé par Levente Polyák réélu le 4 juin 2026, a par ailleurs désactivé les adoptions de paquets à risque, mais la surface reste large.
La mécanique d’une prise de contrôle de paquet AUR
Le risque de l’AUR n’est pas théorique. Le schéma d’attaque observé en juin est simple : un paquet orphelin — dont le mainteneur a abandonné la charge — est adopté par un nouveau compte, qui injecte du code malveillant dans le PKGBUILD ou dans un script d’installation, puis publie une mise à jour. Les utilisateurs qui mettent à niveau sans relire reçoivent le code compromis comme une version légitime. C’est une chaîne d’approvisionnement classique, appliquée à une distribution où la revue est entièrement déléguée à l’utilisateur final.
La réponse du projet a été de désactiver les adoptions de paquets à risque fin juillet, mais le mécanisme de fond demeure : l’AUR est une collection communautaire où personne ne garantit le contenu. La défense tient dans une routine que l’outillage facilite — paru et yay affichent le diff du PKGBUILD avant la construction, et c’est ce diff qu’il faut lire, pas le nom du paquet.
# Relire le PKGBUILD et ses sources avant toute construction
paru -Syu --devel # affiche les diffs à valider un par un
# Vérifier le backend de pare-feu actif (transition iptables -> nftables)
nft list ruleset | head -20La transition iptables vers nftables mérite le même réflexe : un ancien script qui appelle iptables directement peut encore fonctionner via la couche de compatibilité, mais il est plus sûr de vérifier que les règles sont réellement appliquées par nft. Du côté NVIDIA, un pacman -Q | grep nvidia indique si l’on est passé sur nvidia-open ou resté sur le paquet historique ; les cartes Pascal et antérieures, elles, sont gelées sous le pilote 590 et imposent de planifier une migration ou un gel de version.
Verdict
Si vous installez Arch à neuf, prenez l’ISO 2026.09.01 : elle embarque un noyau 7.2.2 et une pile cohérente, et l’installeur archinstall a beaucoup fluidifié la mise en place. C’est l’image à graver, pas l’ancienne.
Si vous êtes déjà sous Arch, ne téléchargez rien : pacman -Syu vous met dans le même état. Consacrez plutôt le temps gagné à deux vérifications — que vos règles de pare-feu sont bien passées en nftables, et que vos paquets AUR ont un PKGBUILD relu et des versions épinglées.
Si vous gérez un parc de machines Arch, planifiez les transitions NVIDIA vers les modules ouverts et le renommage Varnish avant une montée en version globale : ce sont ces changements silencieux, plus que le noyau, qui provoquent les pannes de mise à jour.