Un dépôt dédié aux correctifs d'urgence

L'équipe de développement de Rocky Linux a annoncé la mise en place d'un nouveau dépôt de paquets optionnel, exclusivement dédié à la sécurité. L'objectif affiché est de fournir aux administrateurs système des correctifs temporaires, sous forme de "hotfix", pour faire face à des vulnérabilités zero-day activement exploitées, dès lors qu'un code d'exploitation (proof-of-concept) circule publiquement.

Ce dépôt, désactivé par défaut, constitue une rupture délibérée mais soigneusement encadrée avec la politique historique de Rocky Linux, qui consistait à ne jamais publier de paquets en avance par rapport à Red Hat Enterprise Linux (RHEL). Jusqu'à présent, la distribution s'était toujours engagée à maintenir une compatibilité amont absolue en suivant le rythme de publication de RHEL, sans jamais le devancer.

Dans un message officiel, l'équipe de Rocky Linux précise : "Il s'agit d'une dérogation délibérée et soigneusement limitée à notre politique de longue date consistant à ne jamais expédier de paquets en amont. Ce n'est pas un signal indiquant que Rocky Linux change de cap en matière de compatibilité. C'est un mécanisme destiné à offrir aux administrateurs une voie plus rapide vers la protection lorsque la menace est réelle, que le risque est immédiat et que l'attente n'est pas une option viable."

Deux vulnérabilités déclencheuses

L'émergence de plusieurs failles de sécurité zero-day affectant le noyau Linux a joué un rôle déclencheur dans cette décision. En particulier, les vulnérabilités baptisées "Dirty Frag" et "Fragnesia" ont été citées comme des éléments ayant précipité la création de ce nouveau dépôt. Ces deux failles permettent une élévation de privilèges locale jusqu'au niveau root, affectant de nombreuses distributions Linux, y compris Rocky Linux.

Un mécanisme simple et transparent

Pour activer ce dépôt, une seule commande suffit :

sudo dnf --enablerepo=security update

Les paquets publiés sur ce dépôt possèdent leur propre système de versionnage. Dès que la mise à jour officielle issue de RHEL sera disponible, elle prendra automatiquement le pas sur le correctif temporaire, assurant ainsi une transition fluide.

Le premier correctif mis à disposition via ce nouveau dépôt concerne justement la faille Dirty Frag. L'équipe de Rocky Linux a publié ce patch le 12 mai 2026, jour de l'annonce officielle du dépôt. Les administrateurs peuvent donc dès maintenant protéger leurs systèmes contre cette vulnérabilité en exécutant la commande d'activation.

Une initiative qui laisse le choix aux administrateurs

En rendant ce dépôt optionnel et désactivé par défaut, les développeurs de Rocky Linux entendent laisser la pleine liberté aux administrateurs d'activer ou non ce mécanisme de correction accélérée. Cette approche vise à concilier la nécessité de réagir rapidement face à des menaces immédiates avec le souci de préserver la stabilité et la compatibilité de la distribution.

Ce nouveau dispositif ne modifie pas la philosophie générale de Rocky Linux, mais constitue une réponse pragmatique à un contexte de menace croissante, où des vulnérabilités zero-day sont activement exploitées avant même que les correctifs officiels ne soient disponibles.