Arch Linux : les pushes vers l'AUR sont suspendus - un incident silencieux qui touche tout l'écosystème

L'équipe Arch a coupé les pushes vers l'Arch User Repository sans plus d'explication publique. Silence côté motivation, mais l'impact est réel pour tous ceux qui vivent sur `yay` et `paru`.

Faits

Le 2 août 2026, un message posté sur la mailing list aur-general annonce sobrement que les pushes vers l'AUR (Arch User Repository) sont suspendus. Aucun détail public sur la cause au moment de l'annonce. L'AUR n'est pas gelé en lecture - les utilisateurs peuvent toujours installer les packages déjà présents via yay, paru et consorts - mais les mainteneurs ne peuvent plus publier de nouvelles versions.

Rappel de contexte : l'AUR est un dépôt communautaire (les packages officiels Arch sont ailleurs, dans les repos core, extra, multilib). Sur l'AUR, chaque paquet est un simple PKGBUILD - un script shell qui décrit comment récupérer et compiler le projet - poussé par un contributeur individuel. Modèle très ouvert, très rapide, mais avec une surface d'attaque connue : quiconque peut publier, et l'utilisateur qui installe est censé lire le PKGBUILD avant.

Analyse

Une suspension globale des pushes AUR par l'équipe Arch, sans warning préalable, n'arrive pas gratuitement. Les hypothèses raisonnables, sans surinterpréter :

1. Incident de sécurité en cours d'investigation - package compromis, credentials mainteneur volés, ou automatisation malveillante. C'est le scénario qui justifie le plus une coupure brutale sans com immédiate (éviter de tipper les attaquants).
2. Problème d'infra - pas exclu (bug de déploiement, migration ratée), mais dans ce cas on aurait plutôt une com neutre type « maintenance ».
3. Abus de mass-upload / spam - moins probable étant donné les protections déjà en place.

Rien n'est confirmé au moment où nous écrivons. Le pattern « fermer d'abord, expliquer ensuite » colle bien à une réponse à incident.

À faire maintenant

Pour les utilisateurs Arch / Manjaro / EndeavourOS qui installent depuis l'AUR :

• Ne relancez pas yay -Syu en boucle en espérant que ça débloque : la suspension est côté serveur.
• Auditez ce que vous avez installé récemment depuis l'AUR - si un package que vous utilisez a été publié dans les derniers jours par un mainteneur inhabituel, prenez le temps de rouvrir le PKGBUILD et vérifier ce qu'il télécharge et exécute.
• Attendez la communication officielle avant de tirer des conclusions sur la cause. Une note post-mortem finira par sortir (c'est la culture Arch).
• Rappel d'hygiène : sur AUR, yay -S <package> = « faire tourner du code shell inconnu en local ». Le confort ne dispense jamais de la lecture du PKGBUILD sur les packages sensibles (drivers, outils réseau, wrappers auth).

Encadré - À faire maintenant : ne présumez pas qu'un pacman -Syu a lavé un package AUR compromis. Les paquets AUR ne passent PAS par les repos officiels Arch et n'héritent pas de leur pipeline de signature. Si un incident est confirmé, la remédiation devra passer package par package.

Nous mettrons à jour dès qu'une communication officielle (mailing list arch-announce ou blog Arch) sortira sur la cause et la fenêtre d'exposition.