Omarchy, la distribution Linux desktop opinionated signée DHH (Ruby on Rails), souffre d'une escalade de privilèges permettant à n'importe quel processus local d'obtenir root. Une nouvelle entrée dans la série des LPE Linux de 2026.

Omarchy : la distrib Linux de DHH expose root à tout processus utilisateur

Ce qu'il se passe

Omarchy est une distribution Linux desktop basée sur Arch Linux, imaginée et maintenue par David Heinemeier Hansson (DHH) - le créateur de Ruby on Rails. Son ambition : offrir une expérience Linux "prête à l'emploi" pour les développeurs qui veulent quitter macOS sans sacrifier le confort. Une idée séduisante, un projet populaire dans la sphère dev.

Sauf qu'une faille de sécurité vient ternir ce tableau : n'importe quel processus s'exécutant en espace utilisateur peut escalader ses privilèges jusqu'à root. La vulnérabilité a été documentée par les chercheurs de 0xcc.io. Une CVE est en cours d'attribution.

Ce cas rejoint la série des Local Privilege Escalation (LPE) Linux 2026 qui frappe particulièrement les distributions "opinionated" et desktop - après la faille snap-confine sur Ubuntu Desktop (#2054), c'est au tour d'une distrib encore plus niche, mais tout aussi exposée.

Qui est impacté

La faille est locale : elle nécessite déjà un accès au système. Mais dans le contexte d'une machine de développeur, ce vecteur est quotidien :

• Un script npm malveillant exécuté dans un projet tiers
• Une extension VS Code ou navigateur compromise
• Un binaire téléchargé sans vérification de signature

Sur une machine de dev Omarchy, l'un de ces vecteurs courants suffit à obtenir root - et donc le contrôle total de la machine, des clés SSH, des credentials stockés, des secrets de projet.

Le risque est accru pour les développeurs qui utilisent Omarchy comme machine principale, avec un accès à des dépôts de code, des clés API et des environnements cloud.

Contexte : la série LPE Linux 2026

2026 s'inscrit dans une tendance lourde : les distributions Linux desktop, longtemps considérées comme "sûres par obscurité", sont désormais activement ciblées. La montée en popularité de Linux chez les développeurs - notamment sous l'impulsion de projets comme Omarchy - en fait une cible de plus en plus rentable pour les attaquants.

La différence avec les distributions serveur : les distributions desktop font des choix de configuration opinionated pour améliorer l'expérience utilisateur (sudo sans mot de passe, services actifs, périphériques auto-montés) qui élargissent la surface d'attaque.

Que faire maintenant

À faire maintenant

1. Auditez vos droits sudo : sudo -l - toute entrée NOPASSWD sur un interpréteur ou un éditeur est à traiter immédiatement.
2. Listez les binaires SUID : find / -perm -4000 -type f 2>/dev/null - comparez à une liste de référence Arch saine.
3. Évitez les binaires non vérifiés sur votre machine Omarchy jusqu'au patch officiel.
4. Surveillez le dépôt Omarchy sur GitHub pour le correctif - appliquez-le dès disponibilité.
5. Sur machine partagée ou serveur : isolez l'environnement dans une VM en attendant.

Nous mettons à jour ce fil dès l'attribution officielle de la CVE et la publication du patch.