Le 28 août 2026, le chercheur en sécurité 0xCC a révélé une vulnérabilité effrayante : dans Omarchy, un système open source aux 35 000 étoiles, le système distribue par défaut une clé aux privilèges maximaux à chaque programme en cours d’exécution dès sa sortie d’usine. Cela signifie qu’il suffit d’installer ce système pour que n’importe quel logiciel ordinaire à l’intérieur puisse prendre directement le contrôle de la machine entière sans aucun mot de passe.
Le compromis fatal pour la commodité
Dirigé par le célèbre développeur DHH, Omarchy se présente comme un « système d’exploitation malléable conçu pour l’ère des agents IA », et promeut à l’extrême l’écriture rapide de code grâce à l’assistance de l’IA. Cette quête extrême de la vitesse de développement a directement conduit à un compromis de sécurité stupéfiant. Depuis juin 2025, le système ajoute silencieusement l’utilisateur par défaut au groupe Linux docker.
La documentation officielle de Docker a depuis longtemps averti clairement que rejoindre ce groupe équivaut à accorder le plus haut niveau de privilèges root. Cependant, Omarchy en a fait une configuration silencieuse d’usine, forçant les utilisateurs à assumer des risques de sécurité extrêmes à leur insu. Cette modification de configuration dissimulée brise la confiance fondamentale des utilisateurs dans l’isolation des privilèges du système.
Figure : Bureau d’Omarchy 4. Source : site officiel omarchy.org
Une ligne de défense vide et la controverse
Dans le monde Linux, le démon Docker s’exécute par défaut avec les privilèges les plus élevés du système et écoute en permanence un canal nommé /var/run/docker.sock. Ajouter un utilisateur ordinaire au groupe docker revient à laisser un laissez-passer permanent à la porte dérobée du château. Tout utilisateur ou programme appartenant à ce groupe peut envoyer des commandes au canal, permettant au démon de démarrer des conteneurs, de monter des répertoires hôtes et d’exécuter du code avec les privilèges maximaux.
Lors des discussions communautaires, les opinions divergeaient sur le danger de cette conception. Certains développeurs, comme teekert, ont fait valoir qu’il s’agit d’un risque général connu lié à l’utilisation du groupe docker, et non exclusif à Omarchy ; d’autres, comme Aurornis, ont rétorqué que le cœur du problème réside dans la « configuration silencieuse par défaut d’usine », qui équivaut à accorder des privilèges root par défaut à tous les utilisateurs et programmes. Cela montre que lorsque le développement d’un système dépend trop des résultats rapides de l’IA, même les lignes rouges de sécurité connues du secteur peuvent être facilement franchies sous le couvert de la soi-disant commodité.
Figure : Miniature de la vidéo de démonstration de la vulnérabilité « Omarchy - Every Process Runs with Root ». Source : 0xCC / YouTube
Les développeurs deviennent des cibles
Dans cette tempête de vulnérabilités, le véritable coupable est la philosophie de développement qui considère les « valeurs par défaut sécurisées » comme facultatives. La documentation d’Omarchy indique même de manière trompeuse « not as root », amenant les lecteurs à déduire raisonnablement que ce système est suffisamment restrictif dans la gestion des permissions, alors que la réalité est exactement inverse.
À l’ère où l’IA écrit du code de plus en plus vite, les machines des développeurs sont elles-mêmes les cibles les plus précieuses pour les attaques de la chaîne d’approvisionnement. Elles possèdent d’énormes autorisations, hébergent en permanence divers identifiants de mots de passe et accumulent de vastes droits d’accès au système. Abandonner les lignes de défense de sécurité à la base du système pour gagner du temps signifie qu’une installation de dépendance apparemment inoffensive peut se transformer en un désastre de chaîne d’approvisionnement touchant d’innombrables utilisateurs.
Lorsqu’un système phare axé sur la programmation assistée par l’IA peut exposer complètement et sans scrupule les ordinateurs de tous les utilisateurs pour le bien de l’expérience utilisateur, la communauté technologique doit se réveiller. Aujourd’hui, alors que les outils de codage IA abaissent rapidement la barrière à l’entrée du développement, la ligne de base de sécurité par défaut ne doit jamais être bafouée à la légère. Chaque minute qu’un développeur économise dans sa quête d’efficacité pourrait finalement être payée par un désastre de sécurité systémique.
L’analyse et les conclusions ci-dessus sont basées uniquement sur les détails techniques actuellement divulgués publiquement et sur les discussions de la communauté. Les corrections des pairs sont les bienvenues.
Liens de référence :
- Rapport de divulgation de vulnérabilité par 0xCC
- Discussion sur HN (HN)
