Linux 7.3 durcit NTFS, KSMBD et le vérificateur BPF avant sa sortie prévue en octobre
Le cycle Linux 7.3, dont le rc2 est sorti le 6 septembre 2026 et le rc3 le 13 septembre, se distingue par un durcissement des systèmes de fichiers et du vérificateur BPF, et par une montée en puissance de sched_ext. Les équipes qui maintiendront ce noyau à long terme doivent anticiper les correctifs de sécurité à backporter.
6 septembre 2026. Linus Torvalds publie le rc2 de Linux 7.3. 13 septembre 2026. Le rc3 suit avec des correctifs de sécurité pour XFS et SMB. 18 octobre 2026. La version stable est attendue, sauf rc8 de rattrapage. Pourquoi c’est important : ce cycle se distingue moins par une fonctionnalité vedette que par un durcissement en profondeur — systèmes de fichiers, vérificateur BPF — que les mainteneurs de noyaux d’entreprise devront suivre de près.
sched_ext : l’outillage explose
La surprise du cycle tient dans la répartition du code. Hors pilotes, qui dominent comme toujours, l’outillage de développement est le plus gros contributeur du rc2, avec environ 20 % du patch. Ce bond est largement porté par sched_ext, le framework d’ordonnancement extensible qui laisse des politiques écrites en BPF piloter le scheduler du noyau.
Les mises à jour de sched_ext apportent des en-têtes communs et de compatibilité synchronisés, une documentation nettoyée et des callbacks de scheduler BPF améliorés. Elles corrigent aussi un bug d’abandon intempestif lors des courses de changement de propriétaire. Autour du framework, une vague de self-tests noyau couvre les cgroups, la vérification BPF et les LSM (Linux Security Modules), pour verrouiller la stabilité à long terme. La tendance est claire : le noyau absorbe de plus en plus de logique d’ordonnancement programmable, et le test automatisé suit.
Le durcissement des systèmes de fichiers
La couche fichiers reçoit une passe de renforcement que les équipes qui exposent des serveurs de fichiers doivent lire attentivement. NTFS corrige des échecs de résolution de répertoires en renvoyant correctement DT_UNKNOWN sur erreur de lookup, borne le parcours de la table $AttrDef pour éviter les lectures hors limites, et rejette les configurations de secteur de boot invalides. Une condition de course entre fallocate et les lectures mmap est également résolue.
Côté SMB et KSMBD — le serveur SMB intégré au noyau, cible récurrente des chercheurs en sécurité — le correctif est plus sensible. Le cycle ferme des use-after-free dans les connexions d’arborescence et dans les notifications de rupture d’oplock, valide la longueur des noms normalisés renvoyés, et implémente une purge de session plus sûre lors des déconnexions pour éviter la corruption. Btrfs restaure les pointeurs de périphériques actifs après un échec d’opération de greffe et corrige des valeurs d’erreur perdues pendant les opérations send.
Le vérificateur BPF se referme
Le vérificateur BPF — le gardien qui garantit qu’un programme BPF ne peut pas compromettre le noyau — reçoit une série de renforcements qui réduisent la surface d’attaque. Il infère désormais correctement si un registre est NULL lors des sauts conditionnels, ce qui bloque les accès mémoire dangereux. Il rejette les références à des pseudo-fonctions pointant vers le programme principal, bloque les appels directs dangereux tail call depuis les frames de callback, et marque certains helpers syscall comme non préemptibles. Il empêche aussi les fuites de pointeurs hors limites sur les chemins d’exécution spéculative.
Ces correctifs n’ont rien de cosmétique. Le vérificateur est la frontière entre « un programme BPF chargé » et « une primitive d’exécution dans le noyau ». Chaque relâchement qu’il referme est une porte de moins pour un attaquant qui chercherait à transformer un accès eBPF en escalade de privilèges.
Le reste du cycle : EDAC, DRM et audio
Le rc2 intègre aussi le code EDAC (Error Detection and Correction) « oublié » pendant la fenêtre de merge du rc1. Le sous-système gagne le support des SoC Intel Starfire, un décodage de largeur de DIMM découplé de l’ordre des énumérations, et l’usage de sysfs_emit_at() pour l’affichage des emplacements. Côté graphique, le DRM reçoit des correctifs pour AMD (reset de file, backlight sur écrans OLED), Nouveau (infoframes HDMI sur GB20x) et Virtio-GPU. L’audio ajoute des gardes de gestion d’énergie sur les interfaces Audient, Scarlett et RME, plus des quirks pour des portables récents.
En gestion mémoire, le noyau corrige un usage d’indicateurs dans tmpfs, des allocations dormantes dans les allocations de pages en masse, et la comptabilisation des pages verrouillées dans secretmem. Autant de correctifs discrets qui, cumulés, stabilisent un noyau avant sa sortie.
Ce que ça change pour les opérateurs
Pour une équipe d’exploitation, le cycle 7.3 pose deux questions concrètes. D’abord, le backportage : les correctifs KSMBD et BPF sont exactement le genre de patches de sécurité que les mainteneurs LTS voudront reporter sur les branches stables, et que les distributions intégreront à leurs noyaux. Surveillez les annonces de votre distribution plutôt que de compiler la mainline. Ensuite, le calendrier : la version stable est attendue vers le 18 octobre 2026, mais un rc8 repousserait l’échéance au 25 octobre en cas de régression tardive.
Le message de fond reste celui de la prudence : un noyau en release candidate n’est pas destiné à la production. Les serveurs qui doivent tourner sans interruption restent sur la dernière branche stable — 7.2.5 en l’état — pendant que le cycle 7.3 mûrit.
Verdict
Linux 7.3 n’introduit pas de fonctionnalité spectaculaire, mais il durcit le noyau là où ça compte pour la sécurité : systèmes de fichiers, serveur SMB intégré et vérificateur BPF. Si vous exposez KSMBD ou maintenez un serveur SMB, suivez les correctifs use-after-free de ce cycle et backportez-les dès qu’ils arrivent sur votre branche stable. Si vous chargez des programmes eBPF, lisez le journal des changements du vérificateur : un programme qui passait avant pourrait désormais être rejeté. Si vous planifiez une migration, attendez la version stable d’octobre, et laissez les release candidates aux testeurs.