Incus 7.3 arrive avec un mélange assez rare : treize failles de sécurité corrigées et une vraie nouveauté matérielle. Le gestionnaire open source de conteneurs et de machines virtuelles peut désormais partager une carte graphique entre plusieurs VM Linux, au lieu de la réserver à une seule. La mise à jour est sortie le 31 juillet 2026, et elle concerne autant les administrateurs qui veulent accélérer leurs VM que ceux qui préfèrent éviter qu’une image piégée écrive sur l’hôte.
Treize failles, dont neuf critiques
Le chiffre qui mérite de passer avant la fiche des nouveautés, c’est treize. L’équipe Incus corrige neuf vulnérabilités critiques, deux failles de niveau élevé et deux de niveau moyen. Plusieurs permettent une lecture ou une écriture arbitraire sur l’hôte à partir d’images, de sauvegardes ou de volumes préparés par un attaquant. D’autres contournent les restrictions entre projets ou injectent des paramètres dans des opérations de stockage et de configuration.
Le scénario n’implique pas forcément un serveur exposé sur Internet. Un dépôt d’images compromis, une sauvegarde importée sans contrôle ou un utilisateur qui possède déjà un accès limité peuvent suffire à mettre la séparation entre invités et hôte sous pression. Les avis détaillent notamment des traversées de chemins, des liens symboliques malveillants et des contournements de restrictions de projet. Pour un environnement qui héberge plusieurs équipes, ce sont des défauts de frontière, pas de simples coquilles dans une commande.
La leçon pratique est peu spectaculaire : mets à jour avant de tester la nouvelle accélération graphique. Les branches de développement et les installations qui importent des images provenant de sources tierces doivent être traitées en priorité. Incus publie aussi les identifiants CVE et GHSA, ce qui permet de rapprocher la version installée des correctifs disponibles au lieu de se contenter d’un vague « dernière version ».
Un GPU pour plusieurs VM Linux
La nouveauté la plus visible s’appelle native-context. Elle s’appuie sur virtio-gpu et virglrenderer pour exposer une accélération 3D à une machine virtuelle. Contrairement au passthrough PCI classique, le GPU physique ne disparaît pas du système hôte et n’est pas capturé par une seule VM. Plusieurs invités peuvent donc partager la ressource, pendant que l’hôte continue de l’utiliser.
Visuel source : Linux Containers, « Incus 7.3 has been released » — https://discuss.linuxcontainers.org/t/incus-7-3-has-been-released/
Le principe est intéressant pour les postes Linux virtualisés, les environnements de test graphique et certains usages de calcul ou de transcodage. Mais il faut respecter les prérequis : QEMU 11 ou plus récent, virglrenderer et une pile graphique compatible. La documentation et l’annonce du projet signalent aussi une limite nette : les pilotes des invités Windows ne prennent pas encore correctement en charge ce chemin, donc cette fonction vise d’abord Linux.
La configuration tient en une commande, `incus config device add v1 gpu0 gpu gputype=native-context`, mais la commande ne résume pas le travail d’exploitation. Il faut vérifier le rendu dans l’invité, les droits sur les nœuds DRM, AppArmor, les bibliothèques Mesa et la version de QEMU. Le mot « partagé » ne signifie pas « sans isolation » : on ajoute une surface matérielle et logicielle qu’il faut inclure dans les tests de sécurité.
UEFI, réseau et autorisations deviennent moins pénibles
Incus 7.3 ne se limite pas au GPU. Les machines virtuelles gagnent une gestion directe des variables NVRAM UEFI avec `incus low-level nvram`, ainsi qu’une action de reconstruction pour repartir d’un état propre. Tu peux inspecter ou modifier l’ordre de démarrage et d’autres variables, avec une contrainte logique : les écritures nécessitent une VM arrêtée. C’est utile pour réparer une configuration sans ouvrir manuellement chaque interface firmware.
Le réseau reçoit aussi une commande `incus port-forward` qui crée un écouteur local vers un service situé dans une instance. Le projet ajoute par ailleurs la prise en charge de voisins BGP non numérotés, avec découverte automatique de l’adresse IPv6 locale et échange de routes IPv4. Ce sont des détails d’infrastructure, mais ce sont eux qui déterminent si Incus reste un outil de laboratoire ou devient une brique de production raisonnable.
La configuration des autorisations a été regroupée sous le préfixe `authorization.*`. Les anciennes clés OpenFGA sont migrées automatiquement, et plusieurs pilotes peuvent être choisis selon le type de client : socket Unix, TLS, TLS restreint ou OIDC. Là encore, le gain est surtout opérationnel : les politiques deviennent plus lisibles et peuvent distinguer un accès local d’un accès distant limité à un projet.
Une mise à jour qui demande de la méthode
Incus 7.3 est une version importante parce qu’elle combine un correctif de sécurité massif et des fonctions qui touchent directement l’architecture des VM. La bonne séquence consiste à inventorier les hôtes, vérifier les versions de QEMU et de virglrenderer, sauvegarder les configurations, puis mettre à jour un nœud de test. Après cela seulement, tu peux essayer le GPU partagé sur une VM Linux non critique.
Ne mélange pas tout dans la même fenêtre de maintenance. Une mise à niveau de sécurité, une migration de stockage et l’activation d’une nouvelle pile graphique sont trois changements différents. Si quelque chose casse, tu veux savoir lequel. Et si tu importes des images ou des sauvegardes, considère-les comme des entrées non fiables : la série de correctifs publiée par Incus rappelle que l’isolation ne tient pas uniquement à la présence d’un noyau et d’un hyperviseur.
Le projet ajoute enfin des installateurs natifs pour Windows et macOS côté client, ainsi que des améliorations de migration, de stockage et de supervision. Ce n’est pas la partie la plus brillante de la version, mais c’est celle qui rend l’outil moins réservé aux spécialistes de la ligne de commande. Incus 7.3 ne promet pas une infrastructure magique : il ferme des portes dangereuses et en ouvre une nouvelle vers le GPU partagé. À toi de ne pas laisser la porte du stockage grande ouverte.
Sources
Linux Containers Forum, « Incus 7.3 has been released » — https://discuss.linuxcontainers.org/t/incus-7-3-has-been-released/ — annonce primaire, liste des treize failles et nouveautés.
Dépôt GitHub officiel Incus, version 7.3.0 — https://github.com/lxc/incus/releases/tag/v7.3.0 — date de publication et journal des changements.
Pull request Incus, « Add a native-context GPU type for VMs » — https://github.com/lxc/incus/pull/3564 — fonctionnement, prérequis QEMU et partage du GPU.
Linux Containers, actualités Incus — https://linuxcontainers.org/incus/news/ — contexte des versions précédentes et documentation du projet.
—
Recherche, relecture et illustration assistées par IA. Le contenu reflète le travail éditorial de la rédaction.
No comments yet