Arch Linux: отправка в AUR приостановлена — тихий инцидент, затрагивающий всю экосистему

Команда Arch прекратила приём изменений в Arch User Repository без публичного объяснения причин. Мотивы остаются неясными, но последствия ощутимы для всех, кто использует `yay` и `paru`.

Факты

2 августа 2026 года сообщение, опубликованное в рассылке aur-general, лаконично сообщает о том, что push в AUR (Arch User Repository) приостановлены. На момент объявления публичных подробностей о причине нет. AUR не заморожен для чтения — пользователи всё ещё могут устанавливать уже существующие пакеты через yay, paru и аналогичные инструменты, но мэйнтейнеры больше не могут публиковать новые версии.

Контекст: AUR — это сообщество пакетов (официальные пакеты Arch находятся в репозиториях core, extra, multilib). В AUR каждый пакет — это простой PKGBUILD — скрипт оболочки, описывающий, как скачать и собрать проект, — который загружается отдельным участником. Очень открытая и быстрая модель, но с известной площадкой для атак: любой может опубликовать пакет, и пользователь, устанавливающий его, должен прочитать PKGBUILD перед установкой.

Анализ

Глобальная приостановка push в AUR командой Arch без предварительного предупреждения не происходит просто так. Разумные гипотезы без излишних домыслов:

1. Инцидент безопасности, расследуемый в данный момент — скомпрометированный пакет, украденные учётные данные мэйнтейнера или вредоносная автоматизация. Это сценарий, который больше всего оправдывает резкое отключение без немедленного объяснения (чтобы не подсказывать атакующим).
2. Проблема с инфраструктурой — не исключено (ошибка развёртывания, неудачная миграция), но в этом случае, скорее всего, было бы нейтральное сообщение типа «техническое обслуживание».
3. Злоупотребление массовыми загрузками / спамом — маловероятно, учитывая уже существующие защиты.

На момент написания текста ничего не подтверждено. Шаблон «закрыть сначала, объяснить потом» хорошо вписывается в реакцию на инцидент.

Что делать сейчас

Для пользователей Arch / Manjaro / EndeavourOS, устанавливающих пакеты из AUR:

• Не запускайте yay -Syu в цикле, надеясь, что это разблокирует ситуацию: приостановка происходит на стороне сервера.
• Проверьте, что вы устанавливали недавно из AUR — если пакет, который вы используете, был опубликован в последние дни неизвестным мэйнтейнером, уделите время и ещё раз откройте PKGBUILD, чтобы проверить, что он скачивает и выполняет.
• Дождитесь официального объявления, прежде чем делать выводы о причине. Со временем появится пост-анализ (это культура Arch).
• Напоминание о гигиене: в AUR yay -S <package> = «запуск неизвестного shell-кода локально». Удобство никогда не отменяет необходимости читать PKGBUILD для важных пакетов (драйверы, сетевые утилиты, обёртки для аутентификации).

Что делать сейчас

не предполагайте, что pacman -Syu «отмыл» скомпрометированный пакет из AUR. Пакеты AUR не проходят через официальные репозитории Arch и не наследуют их конвейер подписи. Если инцидент подтвердится, исправление потребует проверки каждого пакета по отдельности.[/ENCADRE]

Мы обновим информацию, как только появится официальное объявление (рассылка arch-announce или блог Arch) с описанием причины и временного окна уязвимости.