Ubuntu 26.10 : la raie a l'air plate, jusqu'à ce que tu bouges SSH

Elle est posée sur le sable, plate, presque décorative. Un nom ridicule, Stonking Stingray, la raie prodigieuse, dans la grande tradition des animaux Ubuntu qu'on n'arrive pas à prononcer deux fois de suite. Tu te dis que c'est une 26.10, pas une LTS, que tu peux attendre avril sans lire les notes.

C'est exactement l'endroit où la raie a son dard.

La bêta est annoncée le 1er octobre 2026 par l'équipe release. La finale est au calendrier le 15 octobre. Les notes de version, au moment où je les lis, portent encore la mention « en développement ». Ce qui suit est donc ce que Canonical décrit comme le contenu visé, pas un procès-verbal d'image gravée. Trois dards suffisent. Le reste de la page est une longue liste de montées de version, utile, et beaucoup moins susceptible de te mordre.

Premier dard : OpenSSH coupé en deux

Ubuntu 26.10 sépare OpenSSH en deux paquets source, openssh et openssh-gssapi. Le premier produit le client et le serveur sans GSSAPI ni Kerberos. Le second remet ce support, dans openssh-gssapi-client et openssh-gssapi-server. Les variantes ne cohabitent pas : installer l'une retire l'autre.

L'idée affichée : le support Kerberos traîne un gros correctif que le projet OpenSSH d'amont n'a jamais pris, et beaucoup de machines n'en ont pas besoin. Le sortir du binaire par défaut réduit la surface. Les deux branches sont en version 10.5.

Le geste qui compte, si tu mets à niveau : l'outil d'upgrade est censé détecter que tu te sers de GSSAPI ou de Kerberos, et choisir tout seul la variante qui va avec. Une installation neuve, elle, part sans. Si ton annuaire, ton SSO ou ton ssh vers les machines du labo passe par Kerberos, une 26.10 fraîche ne fera pas « comme avant » tant que tu n'as pas installé l'autre paquet.

Les notes, au passage, n'utilisent pas deux fois le même ordre de mots pour nommer ces paquets. Je te les donne comme la section « ce que le paquet produit » les écrit. Le jour où tu taperas apt, vérifie l'orthographe réelle. Un dard mal étiqueté pique quand même.

Deuxième dard : rm a changé de moteur

Les coreutils par défaut sont désormais l'implémentation Rust uutils, entièrement. Canonical écrit que cp, mv et rm étaient les derniers restés en GNU, gardés pour des soucis de compatibilité, et qu'ils basculent à leur tour.

Au quotidien, rm s'appelle toujours rm. Le jour où un script dépend d'un message d'erreur, d'un code de retour ou d'un cas tordu de mv par-dessus une partition, le nom ne te préviendra pas. Le moteur, si.

Troisième dard : HAProxy ne répartit plus comme en 2014

HAProxy passe de la 3.2 à la 3.4.2. La 3.4 est une branche LTS amont, supportée jusqu'au deuxième trimestre 2031. Dans les défauts qui changent, trois lignes à relire avant de copier-coller une vieille config en se croyant malin :

• l'algorithme d'équilibrage par défaut n'est plus roundrobin, c'est random (le choix parmi deux) ;
• cpu-policy vaut performance par défaut, et le plafond à 64 threads saute ;
• les backends en mode http activent option abortonclose par défaut.

À côté, des sections entières deviennent des erreurs : noms de frontend ou de backend en double, noms de serveurs en double, directive program retirée. Une config qui « marchait avec des warnings » peut refuser de démarrer. C'est agaçant. C'est aussi le bon moment pour les warnings.

Le sable autour

Il y a d'autres mouvements, plus lents. Sequoia, l'implémentation OpenPGP en Rust, entre dans l'archive principale, avec sq et sqv en vis-à-vis de gpg et gpgv. Les deux familles restent là : gpg n'est pas viré. OpenSSL 4 ne connaît plus les engines : le paquet PKCS#11 ne livre plus que le provider, et une config qui parle encore d'ENGINE est à réécrire. Python est en 3.14, Rust en 1.97, Go en 1.27, dans le tableau des toolchains.

Rien de tout ça ne fera la une d'un site de hardware. Une 26.10 n'est pas censée faire la une. Elle est censée se poser sur le sable pendant que tu regardes ailleurs.

✍️ À toi : est-ce que tu te sers de Kerberos ou de GSSAPI pour SSH, et est-ce que tu mets à niveau une machine ou tu réinstalles. C'est le seul détail qui dit si le premier dard te concerne.

Le 15 octobre, si le calendrier tient, la raie sera une image officielle. D'ici là, les notes peuvent encore bouger. Le réflexe, lui, tient déjà : sur une version « sans histoire », lire la section qui ne parle pas du bureau.