CybersécuritéActualité
La liste oss-security plafonne les annonces de failles par projet
La liste où le logiciel libre rend publiques ses failles reçoit depuis avril quatre fois plus de messages qu’un an plus tôt, un afflux que ses membres relient à l’IA. Les gros projets, Apache en tête, doivent regrouper leurs annonces.
Les développeurs d’Apache Camel, un projet de la fondation Apache, ont annoncé dimanche 18 octobre, en un seul message sur la liste de diffusion oss-security, les 38 failles de sécurité qu’ils avaient rendues publiques le 15, au lieu des 39 messages séparés que comptait le modérateur de la liste. Ce regroupement, Solar Designer, le pseudonyme sous lequel signe Alexander, qui modère la liste, l’avait annoncé dans la nuit du 16 au 17 octobre : depuis ce mois d’octobre, il limite le nombre de messages qu’un même projet peut y faire passer le même jour. « Pour l’instant, j’accepte à contrecœur jusqu’à vingt et quelques messages, mais pas trente ou plus. J’ai l’intention d’abaisser lentement ce seuil. »
La règle n’a rien de spectaculaire, mais elle vise un lieu central du logiciel libre, et elle arrive après six mois de débordement que les archives de la liste permettent de mesurer.
Le carrefour où les failles deviennent publiques
Archivée depuis février 2008 et hébergée par Openwall, oss-security est une liste de discussion publique : chacun peut s’y abonner, et les messages des nouveaux venus ou des non-membres sont relus avant diffusion « pour que les discussions restent dans le sujet ». Son but, selon son wiki, est d’« encourager la discussion publique des failles de sécurité, des concepts et des pratiques » du logiciel libre. Les règles demandent que chaque sujet de message nomme le logiciel, les versions et le type de faille touchés, et que l’essentiel tienne dans le message lui-même.
Elle a une sœur discrète. Les listes distros et linux-distros réunissent les équipes de sécurité des systèmes d’exploitation (Red Hat, Debian, Ubuntu, SUSE, Arch Linux…). Elles sont privées et servent aux failles sous embargo, c’est-à-dire tenues secrètes le temps de préparer les correctifs : quatorze jours au plus, moins de sept de préférence. Le jour où la faille devient publique, la règle est nette : « il est de votre responsabilité, à vous qui l’avez signalée, d’en parler sur oss-security », avec assez de détails pour qu’un non-membre comprenne et corrige. C’est ainsi que la liste a relayé ces derniers jours PwnEscape, une faille qui permet à une machine virtuelle de prendre la main sur son hôte, ou les six failles du noyau Linux baptisées Infinity Core.
Ses lecteurs sont ceux qui doivent agir. Sylvain Beucler, qui dit parcourir la liste pour trier les failles (les CVE, du nom du catalogue international qui leur donne un numéro) au sein de l’équipe de support à long terme de Debian, le résumait en juin : il préférerait des annonces groupées par version, « c’est en général à ce moment que nous devons agir dans les distributions ». Et d’ajouter : « Je n’ai pas besoin de dix notifications pour la version d’un projet que nous n’empaquetons même pas chez Debian. »
Des volumes revenus au niveau de 2014
Les archives d’Openwall affichent le nombre de messages publiés chaque mois, discussions comprises. En 2025, la liste en a reçu 1 168, un peu moins de 100 par mois. En 2026, la courbe décolle au printemps : 190 en mars, 311 en avril, 455 en mai, puis entre 319 et 400 chaque mois jusqu’en septembre. D’avril à septembre, 2 177 messages, contre 550 sur la même période de 2025 : quatre fois plus. Octobre en comptait déjà 221 au soir du 17.
Le chiffre à retenir n’est pourtant pas un record. Solar Designer le rappelait dès le 14 juin : le pic de mai reste sous celui d’octobre 2014, 485 messages, un mois où les archives sont marquées par les fils sur Shellshock, la faille de l’interpréteur de commandes bash, et sur POODLE, celle du vieux protocole de chiffrement SSL 3.0. De 2011 à 2017, la liste tournait le plus souvent entre 150 et 300 messages par mois, parfois davantage ; c’est la période 2018-2025, sous les 100 en moyenne, qui fait figure de creux, sans que les archives disent pourquoi. Avec 2 832 messages au 17 octobre, 2026 est déjà la quatrième année la plus chargée de la liste, derrière 2014, 2015 et 2016.
Messages publiés sur oss-security, année par année
| Année | Messages | Année | Messages |
|---|---|---|---|
| 2010 | 1 542 | 2018 | 1 106 |
| 2011 | 2 526 | 2019 | 909 |
| 2012 | 2 529 | 2020 | 808 |
| 2013 | 2 717 | 2021 | 893 |
| 2014 | 3 498 | 2022 | 945 |
| 2015 | 3 184 | 2023 | 1 169 |
| 2016 | 2 856 | 2024 | 1 150 |
| 2017 | 2 406 | 2025 | 1 168 |
| 2026 (au 17 octobre) | 2 832 |
Sommes des totaux mensuels affichés par les archives d’Openwall, relevés le 18 octobre 2026. Les archives commencent en février 2008 (1 358 messages cette année-là).
Ce qui a changé, c’est la nature du flot. Le 16 octobre, sur les 39 messages de la journée, 34 concernaient deux projets d’Apache : 21 pour Kylin, 13 pour Answer, un message par faille. Le même jour, X.Org et le module Perl Text::CSV_XS annonçaient plusieurs failles chacun en un seul envoi. Peter Gutmann, qui écrit depuis l’université d’Auckland, a réagi samedi : « certains jours, quand je relève mon courrier, tout le volet de résumé est rempli de CVE d’Apache », au point qu’il s’apprêtait à filtrer le mot « Apache ».
L’IA en amont, des humains en aval
Le débat a été ouvert le 8 juin par David A. Wheeler, qui proposait de créer une liste séparée pour les annonces ordinaires et de garder oss-security aux discussions. Son argument : « beaucoup de ces découvertes de failles sont dues, au moins en partie, à l’usage de l’IA », et la « vulnpocalypse » qui vient, mot-valise entre vulnérabilité et apocalypse, rendra l’idée d’une liste unique « complètement absurde ». Sans séparation, « les participants humains devront se désabonner de cette liste tôt ou tard, et ce serait triste ». Il citait l’annonce d’Apache qui l’avait alerté, une faille du serveur web Apache HTTP Server créditée à un chercheur d’Aisle Research, et le cas de Firefox : Mozilla a corrigé dans sa version 150 271 failles repérées en essayant une version préliminaire de Claude Mythos Preview, le modèle d’Anthropic.
Le lien entre l’IA et le volume de la liste reste établi par recoupement, pas par une mesure : aucune annonce ne dit systématiquement comment une faille a été trouvée. Mais le constat est partagé. Google a suspendu ses primes pour une partie de ses logiciels libres en invoquant un afflux de rapports automatisés, et OpenSSH a rapproché ses versions parce que des failles trouvées par des IA étaient retrouvées par d’autres.
Le coût humain se lit dans le message du 17 octobre. Le nombre d’abonnés « a commencé à baisser légèrement : un peu plus de gens partent qu’il n’en arrive », et le va-et-vient reste « bien plus élevé qu'"avant l’IA" ». En juin, Solar Designer ne voyait pas encore d’« exode massif ». Il y a aussi le travail de modération, fait à la main : renvoyer certains messages vers une autre liste, écrivait-il en juin, « n’est pas une tâche facile », car « il est délicat de tracer la ligne entre l’ordinaire et le remarquable ».
Grouper plutôt que trier
D’où une réponse en trois temps, plutôt qu’une liste de plus. D’abord, en juin, une demande : regrouper les failles liées en moins de messages, à la façon des bulletins de sécurité, avec le nom du projet en tête du sujet. Ensuite, récemment, un ordre de passage : les annonces en plusieurs messages attendent que les annonces uniques déjà en file soient diffusées, car « de nombreux serveurs destinataires imposent des limites de débit » qui retardent ou bloquent le courrier. Enfin, en octobre, le plafond par projet et par jour, qui dépend de ce délai, sans quoi le modérateur ne sait pas combien de messages vont suivre.
Premier cas d’application, Apache Thrift, décliné pour de nombreux langages de programmation (Java, Go, C++, Python, PHP…). Sa version 0.25.0, sortie le 30 septembre, corrige 61 failles, toutes annoncées le 1er octobre sur les listes d’Apache. Sur oss-security, un message unique du 4 octobre les résume, une entrée par faille avec sa note de gravité et un lien, et précise qu’il « remplace les 61 envois séparés à cette liste ». Il indique avoir été rédigé avec l’aide de Claude Opus 5.5, un modèle d’Anthropic, puis relu et envoyé par Jens Geyer. Avec Camel, « cela fait déjà 98 messages de moins », compte le modérateur.
L’alternative proposée en juin par Alan Coopersmith, ingénieur chez Oracle, montre pourquoi le regroupement l’a emporté : s’il fallait scinder la liste, écrivait-il, il serait plus simple de créer une liste pour les discussions que d’obtenir de dizaines de projets qu’ils changent leur procédure d’annonce. Le plafond, lui, ne demande rien aux projets qui publient peu.
Un seuil encore mouvant
La règle reste artisanale. Le seuil n’est pas écrit : « vingt et quelques » messages passent, trente non, et il doit baisser sans calendrier annoncé. Le regroupement d’Apache est, selon le modérateur, une procédure manuelle « pas spécifiquement définie mais approuvée » par la fondation, réservée aux « cas extrêmes ». L’outil d’Apache qui produit ces annonces doit apprendre à les grouper par version : la demande, ouverte le 15 septembre sur le dépôt du logiciel, était toujours ouverte le 18 octobre. Solar Designer y a expliqué le 6 octobre recevoir des plaintes d’abonnés pour des messages sur des projets qu’ils n’utilisent pas.
Beaucoup reste hors de vue. Ni le nombre d’abonnés ni celui des messages refusés ou retardés ne figurent dans les archives ou le wiki de la liste. On ne sait pas non plus si les outils qui lisent la liste automatiquement s’accommodent des annonces groupées, ni si d’autres gros émetteurs suivront ; en juin, le modérateur citait déjà les modules Perl du CPAN et le logiciel multimédia GPAC (25 messages du 1er au 14 juin). La part des failles trouvées avec l’IA, enfin, n’est mesurée nulle part. La liste a pourtant choisi : ne pas trier les annonces selon leur importance, seulement en réduire le nombre de messages, pour que ceux qui doivent corriger continuent de les lire.
Les citations en anglais sont traduites par la rédaction. Les agents qui préparent les articles de L’Octet s’appuient sur un modèle d’Anthropic, l’entreprise dont les modèles Claude sont cités ici pour la découverte de failles de Firefox et la rédaction de l’annonce d’Apache Thrift.
