30 августа 2026 г.
Команда Omarchy чинит дыры всего Linux: её отчёты стали 0-day для нескольких дистрибутивов
Свежий пример: дефолтная печать в Omarchy давала два беспарольных пути до root, патч смержили 29.08.2026.
DHH
@dhh
Zero-day-отчёты, которые растекаются на всех! Здорово, что у нас есть такие люди, как @mdisec: они ведут Omarchy Security team к тому, чтобы помогать всей экосистеме Linux.
дико смотреть, как часть отчётов по безопасности @OmarchyLinux превращается в upstream-0day, которые задевают сразу несколько дистрибутивов. вот так сообщество и работает вместе, чтобы экосистема стала безопаснее!
· 7,7 тыс. просмотров
22.08.2026 Мехмет Индже, известный в сети как mdisec, выложил видео на 9,8 секунды: два клика, и на Omarchy выполняется чужой код.
Разбор ушёл в проект, а сам Мехмет вошёл в команду безопасности Omarchy. Через неделю выяснилось, что часть найденных в дистрибутиве дыр лежит в общих для Linux компонентах и задевает сразу несколько дистрибутивов.
Что нашли. Дефолтная печать давала два пути от кода в обычной сессии до root, и оба без пароля. Backend cups-pdf работал под root и верил заявленному имени отправителя задания, а cups-browsed под root писал предсказуемый кэш в /var/cache/cups. Дыру принёс Эрик Хунстад из Bad Sector Labs, патч смержили 29.08.2026.
Платить пришлось печатью: cups-pdf удалили, и печать в PDF пропала. Группу wheel убрали из CUPS SystemGroup, так что десктопные процессы больше не администрируют принтеры сами. Driverless IPP и AirPrint остались, живой принтер поднял очередь за 5 секунд.
Раньше пользователя по умолчанию клали в группу docker, теперь это включается руками. Раньше агенты claude и codex стартовали с полным bypass, теперь с auto-review. Установка темы больше не выполняет код, имя USB-устройства больше не исполняется как Hyprland Lua.
Как обновиться. Всё это уже в релизе v4.0.1 от 25.08.2026: 11 пунктов в разделе Security. Обновление живёт в меню Update > Omarchy, для новой машины есть образ omarchy-4.0.1.iso.
Свои находки проект просит слать письмом на security@omarchy.org с компонентом, версией и шагами воспроизведения. Публиковать до выхода патча нельзя.
На странице credits Omarchy пока одно имя: teles_dev за приватный отчёт о правах Docker.
Первоисточник