Quotidien suisseLundi 5 octobre 2026Édition de 13h, technologie
Prochaine publication le 5 octobre 2026 à 17h
Une · Sécurité · Citrix
NetScaler : nouvelle faille SAML exploitée (CVE-2026-88779), à repatcher
Dimanche 4.10, Citrix publie en urgence NetScaler ADC et Gateway 14.1-73.41 et 13.1-64.28 pour corriger CVE-2026-88779 (CVSS 8.7 selon l’avis Citrix), un défaut de gestion de tampon mémoire dans l’authentification SAML. Citrix dit avoir observé des « attaques ciblées » provoquant des dénis de service. La CISA l’a ajoutée le même jour à son catalogue des vulnérabilités exploitées (KEV), avec une échéance au 7.10 pour les agences fédérales américaines.
Sont concernés les appliances configurées en fournisseur de service SAML (add authentication samlAction) ou en fournisseur d’identité (add authentication samlIdPProfile), avec les fonctions Gateway ou AAA. Pour FIPS : 14.1-73.41 FIPS, et 13.1-37.282 pour les clients FIPS/NDcPP sur la branche 13.1. Citrix diffuse aussi des listes globales de blocage d’adresses IP malveillantes, mais recommande d’installer les mises à jour. Les organisations qui venaient de patcher le lot CVE-2026-88771 à 88778 (fin septembre) doivent mettre à jour une seconde fois.
Citrix qualifie la faille de déni de service et dit ne pas avoir identifié d’impact sur l’intégrité des données. Des administrateurs et chercheurs signalent pourtant des indices d’exécution de code : redémarrages en boucle de versions 14.1-73.37 déjà patchées (crash du processus nsaaad jusqu’à la limite de redémarrage de Pitboss), noms d’utilisateur forgés contenant des commandes shell, et un honeypot patché exécutant un binaire téléchargé selon Kevin Beaumont. watchTowr Labs dit avoir reproduit la faille sans publier de détails. L’exécution de code n’est pas confirmée par l’éditeur. Pas de PoC ici.
Siemens ferme OpenRadioss, la communauté relance OpenCourant
Le 1.10, Siemens met fin à OpenRadioss, la version libre (GNU AGPL v3) du solveur explicite par éléments finis Radioss (crash, choc, explosion) qu’Altair avait ouverte en 2022, avant son rachat par Siemens. Le site redirige vers une page de « transition » vers Simcenter Radioss, et le dépôt GitHub renvoie une erreur 404, sans archive publique. Siemens invoque une consolidation de ses efforts autour d’une offre de production.
Le même jour, Brian Clemens (Rocky Linux, Rocky Enterprise Software Foundation) lance OpenCourant, un fork repris du dernier état public du code, toujours sous AGPL v3. Le nom renvoie à la condition de Courant–Friedrichs–Lewy, le critère de stabilité des solveurs explicites. Le 5.10, le projet publie ses premiers paquets Linux x86-64 construits par sa propre intégration continue. Restent manquants : Windows, Linux arm64, et certaines dépendances livrées en binaire dont les versions récentes n’avaient pas été sauvegardées.
X.Org ou Wayland : NVIDIA mesure la latence au capteur de lumière
À la conférence XDC 2026 à Toronto, l’ingénieur NVIDIA Kamil Łysik a présenté une mesure de bout en bout, de l’appui sur une touche jusqu’à l’affichage, avec un microcontrôleur et un capteur de lumière, pilotés par un logiciel de tests automatisés et répétables. Banc : GeForce RTX 5070, pilote NVIDIA branche R610, KWin 6.7.4 (KDE), Mutter 49.7 (GNOME) et X.Org Server 1.21.1.24.
Résultat : les latences X.Org et Wayland sont très proches, sans vainqueur net. XWayland n’ajoute plus l’image de retard qu’il introduisait auparavant. Le rafraîchissement variable (VRR) améliore fortement la réactivité et ramène les deux types de session à peu près au même niveau. NVIDIA a aussi présenté à XDC son projet Display Config Server, destiné aux murs d’écrans sous Wayland.
EEVDF : lag, échéance virtuelle et pourquoi les tâches courtes attendent
Vincent Guittot (Linaro) a envoyé le 3.10 une série de 18 patchs pour réduire la latence quand plusieurs tâches à tranche courte se partagent un CPU. Atelier pédagogique sur l’ordonnanceur EEVDF du noyau Linux.
De CFS à EEVDF. Depuis Linux 6.6, l’ordonnanceur par défaut des tâches normales n’est plus CFS mais EEVDF (« Earliest Eligible Virtual Deadline First »). L’idée de l’équité reste : chaque tâche a droit à une part du CPU proportionnelle à son poids (dérivé de la valeur nice). Le temps est compté en « temps virtuel », qui avance plus lentement pour une tâche lourde. CFS choisissait simplement la tâche au plus petit temps virtuel consommé ; il gérait mal la latence, à coups d’heuristiques.
Lag et éligibilité. EEVDF calcule pour chaque tâche un lag : la différence entre le service qu’elle aurait dû recevoir dans un partage idéal et celui qu’elle a reçu. Une tâche au lag positif est en retard, on lui doit du CPU : elle est éligible. Une tâche au lag négatif a trop consommé et doit attendre. Parmi les tâches éligibles, l’ordonnanceur prend celle dont l’échéance virtuelle est la plus proche. Cette échéance vaut l’instant d’éligibilité plus la tranche demandée, divisée par le poids.
Le rôle de la tranche. À poids égal, une tâche qui demande une tranche courte obtient une échéance plus proche, donc passe plus tôt, mais pour moins longtemps. Elle ne reçoit pas plus de CPU au total, elle le reçoit par petits morceaux plus fréquents : c’est la latence qui change, pas la part. Depuis Linux 6.12, une tâche peut demander sa tranche via sched_setattr() ; sinon elle reçoit la tranche de base du système. Les cas difficiles apparaissent quand plusieurs tâches courtes cohabitent avec des tâches longues : choix du CPU au réveil sans tenir compte de la tranche, ou lag positif conservé trop longtemps par une tâche qui dort. Les patchs de Guittot traitent notamment ces deux points (décroissance du lag positif, prise en compte de la tranche dans la sélection du CPU), mesurés avec cyclictest et hackbench sur les pics de latence. C’est une série soumise à revue, pas encore intégrée.
Suite de la série présentée ici le 15.09 : Kairui Song a envoyé ce week-end une troisième version, toujours en RFC, de la promotion des pages guidée par la fréquence d’accès pour le Multi-Gen LRU. Il annonce 10 à 40 % de performances en plus ou de refaults en moins selon les charges, et un bit de drapeaux de page économisé. Exemples cités : MongoDB +13,5 %, Chromium et Node.js avec zRAM en swap +76 %, FIO jusqu’à +11 %. L’auteur reconnaît une sur-récupération de la mémoire anonyme plus marquée qu’en v2.
Fujitsu MONAKA : premiers contournements de bugs CPU dans Linux
Le processeur serveur Arm de 144 cœurs de Fujitsu, annoncé le mois dernier, reçoit ses premiers patchs de contournement : invalidations TLB par plage qui peuvent rater des entrées (noyau en pages de 64 Ko), faux débordements du compteur de performance pouvant provoquer une tempête d’interruptions, et risque de blocage d’un cœur quand une interruption logicielle inter-processeurs (SGI) se perd.
