Sécurité informatique : l’open source en alerte avec des vulnérabilités record

L’écosystème des logiciels libres connaît une année 2026 marquée par une vigilance accrue en matière de sécurité informatique. Entre multiplication des vulnérabilités détectées et nouvelles politiques restrictives sur l’intelligence artificielle, les principaux projets open source revoient leurs méthodes de développement. Au cœur de ces transformations, PostgreSQL, Curl et QGIS illustrent chacun à leur manière les défis auxquels fait face la communauté du logiciel libre.

Une avalanche de correctifs de sécurité pour PostgreSQL

Le système de gestion de bases de données a publié le 15 octobre 2026 la première version candidate de PostgreSQL 19. Cette étape préparatoire annonce une sortie officielle fixée au 19 novembre 2026, mais révèle surtout un bouleversement sans précédent dans la gestion de la sécurité du projet.

Le constat est éloquent : 44 vulnérabilités (CVE) ont été identifiées et corrigées au cours de l’année 2026, là où seulement 7 avaient été recensées l’année précédente. Cette explosion des failles détectées s’explique notamment par l’utilisation de revues de code assistées par intelligence artificielle et par une mobilisation renforcée des équipes sur les correctifs de sécurité.

Des fonctionnalités sacrifiées sur l’autel de la qualité

Conséquence directe de cette rigueur accrue, entre 8 et 10 fonctions importantes ont été retirées de la version 19 durant la phase bêta. Les développeurs ont préféré repousser certaines nouveautés plutôt que de compromettre la stabilité et la sécurité de leur système.

Les correctifs ont été déployés en trois vagues successives sur les versions 14 à 18, le dernier lot s’avérant le plus conséquent. Certaines fonctionnalités écartées pourraient néanmoins faire leur retour dans la version 20, une fois les standards de qualité satisfaits.

Curl face à une explosion des vulnérabilités

L’outil de transfert de données n’est pas épargné par cette tendance. Entre janvier et octobre 2026, pas moins de 69 failles ont été rendues publiques, contre uniquement 9 durant toute l’année 2025. Les versions récentes ont dû intégrer des corrections pour 51 de ces vulnérabilités.

Un acteur se distingue particulièrement dans cette découverte massive de failles : Aisle Research a identifié à lui seul 35 vulnérabilités, établissant un record comme le groupe ayant signalé le plus grand nombre de failles pour un projet donné.

QGIS ferme la porte à l’intelligence artificielle

Le logiciel de cartographie a pris une décision radicale le 7 octobre 2026 en adoptant une politique interdisant formellement toute contribution générée par intelligence artificielle. Cette mesure fait suite à un bilan décevant de l’approche précédente.

Un échec reconnu de la politique antérieure

Les discussions au sein du projet ont révélé qu’environ 40 pull requests étiquetées comme assistées par IA avaient été fermées sans jamais être intégrées au code source. Plus préoccupant encore, l’ancienne politique a conduit à la perte d’un contributeur considéré comme précieux pour le projet.

Cette interdiction totale témoigne des difficultés rencontrées par les mainteneurs pour gérer efficacement les contributions générées ou assistées par des outils d’IA générative.

Le cadre réglementaire européen se précise

Depuis le 11 septembre 2026, le règlement européen sur la cyberrésilience impose aux entreprises le signalement obligatoire des vulnérabilités et des incidents graves de sécurité informatique. Cette obligation vise à renforcer la transparence et la réactivité face aux menaces numériques.

Les projets de logiciels libres bénéficient toutefois d’un régime spécifique. Leurs obligations ne débuteront qu’à partir du 11 décembre 2027, leur laissant un délai supplémentaire pour s’adapter aux nouvelles contraintes réglementaires.

Des débats encore ouverts sur l’IA

Chez PostgreSQL, la question des contributions assistées par intelligence artificielle reste en discussion. Contrairement à QGIS qui a tranché radicalement, le projet de base de données n’a pas encore établi de politique définitive sur ce sujet sensible qui divise la communauté du libre.