NetBSD 11.0 intègre RISC-V, un kernel qui boote en 10 ms et 39 architectures — le couteau suisse des OS revendique l’honnêteté sur ses failles

30 juillet 2026, 1er août 2026, 30 ans. Trois dates qui racontent une release qui n’aurait pas dû exister — et qui existe quand même. NetBSD 11.0 est la dix-neuvième version majeure d’un système d’exploitation dont la première release remonte à 1993. Il supporte 39 architectures distinctes, de l’Amiga au RISC-V en passant par la Nintendo Wii. Son nouveau noyau MICROVM démarre en 10 millisecondes sur un CPU de 2020. Et il est publié avec trois failles de sécurité documentées et non corrigées — par choix.

Un saut générationnel discret mais réel

NetBSD n’est pas l’OS qui fait la une des comparatifs de distributions serveur. Il ne court pas après les conteneurs, les daemons systemd ou les pipelines GitOps. Il fait une chose et il la fait depuis trente ans : tourner sur tout ce qui a un processeur. 11.0 ne déroge pas à cette règle — mais il l’étend d’une manière qui n’a rien d’anecdotique.

RISC-V est le grand ajout de cette release. NetBSD 11.0 est le premier BSD stable à supporter l’architecture RISC-V 64-bit en production, avec des images pour la VisionFive 2, la PINE64 STAR64, les SoC Allwinner D1 (MangoPi MQ Pro, Nezha) et QEMU. Le support inclut PCI/PCIe, le TRNG, les capteurs de température, et le debugger kernel crash(8).

Ce n’est pas un geste symbolique. RISC-V est en train de passer du statut de curiosité académique à celui de plateforme industrielle, portée par les sanctions américaines sur les exports de semi-conducteurs et la montée en puissance de l’écosystème chinois. Avoir un BSD qui tourne nativement sur ces SoC sans blob propriétaire, c’est un jalon politique autant que technique.

MICROVM : 10 ms pour booter

L’autre nouveauté structurante, c’est le noyau MICROVM pour x86 (i386 et amd64). Il exploite le boot PVH, les périphériques VirtIO MMIO, et une série d’optimisations noyau pour démarrer une VM en environ 10 ms sur un CPU datant de 2020.

Pour un hyperviseur comme QEMU avec l’option -kernel, cela signifie qu’on peut lancer des micro-VM NetBSD avec une latence comparable à celle de Firecracker — sans changer d’OS, sans renoncer au support de 39 architectures, et avec la pile réseau complète de NetBSD. Le cas d’usage immédiat, c’est le serverless et les fonctions éphémères, mais le vrai message est ailleurs : NetBSD peut être le dénominateur commun d’une infrastructure hétérogène où le même OS tourne du RISC-V embarqué jusqu’au x86 cloud-native.

Linux sans Linux

NetBSD 11.0 muscle aussi sa couche de compatibilité binaire Linux. Au menu : epoll (implémenté au-dessus de kqueue), clone3, close_range, renameat2, statx, inotify, sync_file_range, syncfs, les files de messages POSIX et memfd_create.

Concrètement, un binaire Linux compilé avec glibc récente a de bonnes chances de tourner sans modification. Pour l’auto-hébergeur qui voudrait faire cohabiter des services Linux et des services natifs NetBSD sur un même VPS ou une même carte Arm, c’est un levier de migration crédible.

Le firewall npf(7) progresse aussi, avec du filtrage couche 2 et du filtrage par utilisateur/groupe — des fonctionnalités qu’on associe plus volontiers à pfSense ou OPNsense, mais qui sont désormais disponibles dans l’OS de base.

39 architectures, du PDP-11 au Snapdragon X Elite

La liste complète des plates-formes supportées par NetBSD 11.0 est un objet de collection à elle seule. Voici ce qui rentre dans cette release :

• RISC-V 64-bit : VisionFive 2, STAR64, QEMU, Allwinner D1
• ARM : support initial du Qualcomm Snapdragon X Elite (batterie, GPIO, I2C), Raspberry Pi 5 en boot UEFI, NanoPi R4S, Libre Computer AML-S905X-CC
• PowerPC : Nintendo Wii en boot standalone, avec accélération AES pour le chiffrement disque et le Wi-Fi ; PowerMac G5 avec contrôle des ventilateurs
• Motorola 68000 : nouveau port virt68k pour QEMU, compatible avec l’émulation paravirtualisée
• x86 : support des capteurs thermiques pour les CPU AMD Turin, Strix Point et Zen 5, watchdog Intel TCO récent, thinkpad(4) avec interface sysctl pour le contrôle de charge
• Vintage : HP 9000/300 et 400, Amiga, Atari TT/Falcon, Sega Dreamcast, Sharp X68000 avec séquences Sixel, stations HP PA-RISC avec nouvelles cartes graphiques

La maintenance de ces ports n’est pas cosmétique. Le port x68k reçoit le support des séquences graphiques Sixel sur la console framebuffer. Le port mac68k gagne un driver de batterie pour les PowerBook série 1xx. Ces machines ont entre 25 et 35 ans, et NetBSD continue d’y faire tourner un kernel moderne.

La transparence comme posture de sécurité

Le fait le plus commenté de cette release ne figure pas dans les notes techniques. NetBSD 11.0 est publié avec trois advisories de sécurité ouvertes :

• hdaudio(4) : absence de vérification de privilèges sur les ioctl, contournement trivial (supprimer /dev/hdaudio*, l’audio reste fonctionnel)
• ipfilter : déréférencement de pointeur nul déclenchable à distance — IPF n’est inclus dans aucun kernel par défaut
• pf : use-after-free dans le réassemblage de fragments — PF est déprécié et exclu des kernels par défaut

Le projet explique sa décision sans détour : « Nous ne pouvons pas publier une release sans problèmes ouverts. Au lieu de retarder la sortie davantage pour les corriger — de nouveaux problèmes sont signalés en permanence — nous avons choisi d’être transparents. » 11.1 est prévue dans les deux mois avec les correctifs.

C’est un contraste saisissant avec les pratiques de l’industrie, où les releases sont souvent retardées de six mois pour des failles non-exploitables en conditions réelles, sans que personne ne communique sur le sujet. NetBSD assume sa taille et ses limites, et c’est précisément cette honnêteté qui donne confiance.

Verdict

NetBSD 11.0 n’est pas une distribution serveur généraliste. Si vous cherchez un OS pour faire tourner Docker, Kubernetes ou un LLM local, passez votre chemin — ce n’est pas son terrain.

Prenez NetBSD 11.0 si :

• Vous développez ou déployez sur RISC-V et voulez un OS sans blob propriétaire, avec une pile réseau complète et un firewall intégré.
• Vous avez un parc de machines hétérogènes (Arm, x86, MIPS, PowerPC) et cherchez un dénominateur commun pour l’administration et le monitoring.
• Vous faites du serverless ou des fonctions éphémères sur hyperviseur et voulez un temps de boot VM sous les 15 ms sans quitter l’écosystème BSD.
• Vous collectionnez ou maintenez du matériel vintage et voulez un kernel moderne avec des mises à jour de sécurité.

Ne prenez pas NetBSD 11.0 si :

• Votre stack applicative dépend de Docker ou de conteneurs Linux — compat_linux comble l’écart pour les binaires, pas pour l’orchestration.
• Vous attendez un niveau de support commercial — le projet vit de dons et de contributeurs.
• Vous voulez le dernier Wi-Fi 7 ou GPU NVIDIA sur votre bureau — ce n’est pas le cœur de cible.

Un chiffre pour finir : 39 architectures. Aucun autre OS open source ne couvre un spectre matériel aussi large. Si votre stratégie d’infrastructure inclut le « run anywhere », NetBSD 11.0 est le seul à pouvoir le prouver sur trois décennies de silicium.

Références

• Announcing NetBSD 11.0 — The NetBSD Project, 30 juillet 2026
• NetBSD 11.0 released! — Martin Husemann, NetBSD Blog, 1er août 2026
• NetBSD 11.0 Released With RISC-V Support, Enhanced Linux System Call Compatibility — Michael Larabel, Phoronix, 1er août 2026
• NetBSD 11.0 discussion — Hacker News, 276 points, août 2026