Home Assistant OS 18.4 et la faille eMudhra : ce qui est corrigé, ce qui ne l'est pas

Quand on a découvert, le 17 octobre 2026, que les clés de huit autorités de certification intermédiaires d'eMudhra étaient récupérables, Chrome les a bloquées en moins de deux heures, et Firefox le soir même. Votre box Home Assistant a mis plus de temps. Le système d'exploitation, le Supervisor et plusieurs apps officielles embarquent chacun leur propre liste d'autorités de confiance, et chacun a dû être reconstruit séparément. Dix jours plus tard, avec Home Assistant OS 18.4 sorti le 27 octobre, l'essentiel de la pile est corrigé, mais pas tout.

Ce guide fait trois choses : il retrace la chronologie, il montre couche par couche ce qui est corrigé au 28 octobre, et il détaille une mise à jour sans risque. Il explique aussi comment vérifier une image avec Cosign, un test que nous avons fait sur la 18.4.

Ce qu'il faut retenir

• Home Assistant OS 18.4 (27 octobre) apporte un nouveau magasin de certificats qui retire la racine eMudhra concernée. La mise à jour inclut aussi le noyau 6.18.58 sur la plupart des cartes et corrige les régressions Bluetooth et VLAN de la 18.3.
• Core 2026.10.3, Supervisor 2026.10.4 et les plugins dns, audio, multicast et cli sont signalés corrigés, tout comme Mosquitto 7.1.3.
• Au 28 octobre, un test communautaire montre que Matter Server, OpenThread Border Router, Piper, Whisper, NGINX SSL proxy et Terminal & SSH acceptent encore la chaîne compromise.
• Les fichiers de la 18.4 sont maintenant accompagnés d'un SHA256SUMS signé via Sigstore. Notre vérification Cosign a répondu « Verified OK ».
• Mettez à jour depuis les Paramètres avec la sauvegarde activée. Si un dongle Bluetooth USB pose problème, une seule commande suffit pour revenir à la version précédente.

Chronologie : d'une clé faible à Home Assistant OS 18.4

L'incident sort de l'ordinaire : il ne s'agit pas d'un serveur piraté, ce sont les clés elles-mêmes qui étaient défaillantes. D'après le communiqué d'eMudhra, les huit intermédiaires ont été créés lors d'une cérémonie de génération de clés le 30 avril 2025. Une étape d'encapsulation (wrap/unwrap) a produit un second jeu de clés faibles, et ce sont celles-là qui ont été publiées. Personne ne s'en est aperçu pendant environ 18 mois, malgré deux cycles d'audit.

1. 17 octobre, 18 h 05 UTC : le programme racine de Chrome reçoit le signalement du chercheur. À 19 h 45 UTC, une mise à jour CRLSet bloque les clés, selon le blog sécurité de Google.
2. 17 octobre, 22 h 59 UTC : le blocage OneCRL de Mozilla atteint tous les utilisateurs de Firefox avec les réglages par défaut, d'après le Mozilla Security Blog.
3. 18 octobre : eMudhra révoque les huit intermédiaires.
4. 20 octobre : Mozilla annonce NSS 3.131.1, qui retire la racine (emSign ECC Root CA - G3).
5. 22 octobre : le projet docker-base de Home Assistant fusionne une modification qui force la mise à niveau des paquets à la construction des images.
6. 23 octobre : sortie de Home Assistant Core 2026.10.3, signalé comme corrigé.
7. 24 octobre : un utilisateur ouvre le ticket Supervisor #7424. Il montre que le Supervisor 2026.10.3, ses plugins et plusieurs apps officielles font encore confiance à la racine. Le Supervisor 2026.10.4 sort le même jour et passe sur le canal stable le 26.
8. 27 octobre : début prévu du retrait de la racine dans Chrome. Sortie de Home Assistant OS 18.4 et de Mosquitto 7.1.3.
9. 28 octobre (soir du 27, heure du Centre des États-Unis) : l'auteur du ticket confirme le correctif sur HAOS 18.4 et ferme le ticket, en listant les apps qui acceptent encore la chaîne.

Couche par couche : l'état des correctifs au 28 octobre

Une installation Home Assistant OS est un empilement de briques indépendantes. L'hôte a son magasin de certificats, et chaque conteneur a le sien : mettre à jour l'un ne met pas à jour les autres. Le tableau ci-dessous croise les notes de version de HAOS 18.4 et les tests publiés dans le ticket #7424, réalisés sur un Raspberry Pi 4. Ces tests sont communautaires, pas officiels.

Couche	Version testée	État	Source
Système hôte	HAOS 18.4	Racine retirée	Notes de version officielles
Home Assistant Core	2026.10.3 et suivantes	Corrigé	Test communautaire
Supervisor	2026.10.4	Corrigé (chaîne rejetée)	Test confirmé par un mainteneur
Plugins dns, audio, multicast, cli	2026.10.0 / 2026.10.1 (cli)	Corrigés	Test communautaire
Plugin observer	2026.08.0	Non vérifiable	Test communautaire
Broker Mosquitto	7.1.3	Corrigé	Test communautaire
Z-Wave JS	1.10.0	N'a jamais contenu la racine	Test communautaire
Matter Server, OpenThread Border Router	Actuelles	Acceptent encore la chaîne	Test communautaire
Piper, Whisper, NGINX SSL proxy, Terminal & SSH	Actuelles	Acceptent encore la chaîne	Test communautaire

Le 28 octobre au matin, nous avons consulté les nouveaux dépôts GitHub dédiés à Matter Server, OpenThread Border Router, Piper, NGINX SSL proxy et Terminal & SSH : aucun n'avait encore publié de version. L'auteur du ticket s'attend à ce que chaque app récupère l'image de base corrigée lors de sa première version publiée depuis son nouveau dépôt. C'est une attente, pas un calendrier.

L'autre moitié de la 18.4 : Bluetooth, VLAN et démarrage

Home Assistant la présente comme « une version de correctifs et de sécurité, qui traite principalement des régressions du noyau apparues dans la 18.3 ». Toutes les cartes ne reçoivent pas les mêmes correctifs.

Image	Noyau 6.18.58	Correctif Bluetooth RTL8761B	Correctif VLAN Realtek	Correctif U-Boot
Raspberry Pi	Non	Non	Oui	Oui
Home Assistant Yellow	Non	Non	Oui	Oui
Home Assistant Green	Oui	Oui	Non	Oui
Machine virtuelle (OVA)	Oui	Oui	Non	Non
Generic x86-64	Oui	Oui	Oui	Non
Generic aarch64	Oui	Oui	Oui	Non
ODROID, Khadas VIM	Oui	Oui	Oui	Oui

Les autres changements

• Les adaptateurs Bluetooth USB RTL8761B (identifiant 0bda:a728), en panne depuis le noyau 6.18.45, refonctionnent. Le firmware du contrôleur RTL8761CU est ajouté.
• Sur Raspberry Pi, le mode de stockage USB rapide (UAS) est désactivé pour deux boîtiers : l'Argon ONE M.2 (ASMedia 174c:1156) et l'UGREEN 70499 CM300 (ASMedia ASM235CM).
• Mises à jour de sécurité de Docker 29.8.2, containerd 2.3.6, Go 1.27.3 et Buildroot 2025.02.19.
• La déduplication EROFS est désactivée sur toutes les cartes, et l'image x86-64 gère désormais le contrôle des broches (pin control) des puces Jasper Lake.

Mettre à jour sans risque, étape par étape

Ces étapes suivent la documentation officielle des tâches courantes.

1. Notez votre version actuelle dans Paramètres > À propos.
2. Mettez d'abord à jour le Supervisor et le Core s'ils sont en attente, pour que la couche de base de vos apps soit à jour.
3. Ouvrez Paramètres > Système > Mises à jour, choisissez Home Assistant Operating System, laissez l'option de sauvegarde cochée et cliquez sur Mettre à jour. En ligne de commande, ha os update fait la même chose.
4. Après le redémarrage, consultez Paramètres > Système > Réparations et les journaux. Si vous utilisez un dongle Bluetooth USB ou des proxys Bluetooth, vérifiez que vos appareils BLE remontent de nouveau leurs données.
5. Mettez à jour vos apps dans les jours qui viennent, à mesure que de nouvelles versions sortent, en priorité Matter Server et OpenThread Border Router.

En cas de problème, Home Assistant OS garde la version précédente dans un second emplacement de démarrage. ha os info indique l'emplacement actif et la version installée dans chacun. ha os boot-slot other redémarre sur la version précédente. Vous pouvez aussi installer une version précise avec ha os update --version 18.3.

Vérifier une image avec Cosign : notre test

C'est une nouveauté de la 18.4 : chaque version publie un fichier SHA256SUMS et un bundle Sigstore, SHA256SUMS.sigstore.json. Selon la pull request #5053, la signature est faite par le workflow de build GitHub du projet. Il n'y a donc pas de clé privée permanente à voler, un choix qui prend tout son sens vu l'origine de cet incident. C'est utile si vous flashez vous-même une carte SD, un SSD ou une image de VM.

Le 28 octobre, nous avons téléchargé ces deux fichiers depuis la page de la 18.4 et lancé Cosign 3.1.4 (voir la documentation Sigstore) :

cosign verify-blob \
  --bundle SHA256SUMS.sigstore.json \
  --certificate-identity "https://github.com/home-assistant/operating-system/.github/workflows/build.yaml@refs/tags/18.4" \
  --certificate-oidc-issuer https://token.actions.githubusercontent.com \
  SHA256SUMS

sha256sum -c --ignore-missing SHA256SUMS

Résultat : Verified OK. Le fichier signé liste 35 images et bundles de mise à jour. Nous en avons téléchargé un, le bundle de mise à jour pour Khadas VIM3, et sha256sum a répondu OK. L'identité utilisée est celle inscrite dans le certificat de signature : le workflow build.yaml du dépôt home-assistant/operating-system, sur le tag 18.4. Pour une version suivante, changez le tag.

Home Assistant / compatibilité : qui est vraiment exposé ?

Notre analyse : c'est à corriger cette semaine, sans céder à la panique. Google indique qu'aucun certificat émis par ces intermédiaires n'apparaissait dans les journaux Certificate Transparency avant le blocage, et eMudhra affirme qu'ils n'en ont jamais émis un seul. Le risque est ailleurs. Comme les clés sont récupérables, n'importe qui pourrait fabriquer de nouveaux certificats frauduleux. Les navigateurs vérifient Certificate Transparency, mais la plupart des programmes et logiciels IoT ne le font pas : ils se fient uniquement à leur magasin de certificats. Pour attaquer une installation Home Assistant de cette façon, il faudrait en plus que l'attaquant soit placé sur le chemin réseau, par exemple via un Wi-Fi hostile, un routeur compromis ou une manipulation DNS.

• Si vous êtes sous Home Assistant OS : installez la 18.4 et le Supervisor 2026.10.4. Cela couvre l'hôte et les composants qui téléchargent les dépôts d'apps et les mises à jour.
• Si vous avez un foyer Matter ou Thread : Matter Server et OpenThread Border Router font partie des apps en attente de correctif. Votre trafic Matter local ne dépend pas des certificats web publics, mais les connexions HTTPS sortantes de ces apps, si. Mettez-les à jour dès qu'une version sort.
• Si vous êtes en installation Container ou Core : la 18.4 ne vous concerne pas. Vérifiez que Core est en 2026.10.3 ou plus et que le paquet ca-certificates de votre hôte est à jour.
• Si vous utilisez l'accès à distance : Home Assistant Link (l'ex-Cloud) et votre propre reverse proxy doivent utiliser des certificats d'autres autorités. L'app NGINX SSL proxy fait partie de celles qui attendent encore un correctif.

Pour la vue d'ensemble, voyez notre guide complet Home Assistant 2026. Si Thread vous intéresse, lisez notre comparatif Zigbee vs Matter-over-Thread. Et si les caméras sont votre prochain chantier, consultez notre guide d'achat des caméras Matter.

FAQ

La 18.4 s'installe-t-elle automatiquement ?

Nous n'avons trouvé aucune indication officielle en ce sens. Home Assistant signale les mises à jour de l'OS par une notification dans les Paramètres, et vous les installez vous-même ou avec ha os update. Vérifiez dans Paramètres > À propos que vous êtes bien en 18.4.

Faut-il Cosign pour les mises à jour classiques ?

Non. Cosign sert à vérifier une image que vous téléchargez et flashez vous-même : nouvelle carte SD, SSD ou machine virtuelle. Les notes de version ne disent pas si les mises à jour lancées depuis l'interface utilisent les nouvelles signatures.

Mon dongle Bluetooth ASUS (0b05:1bef) se comporte mal en 18.3 : la 18.4 règle-t-elle le problème ?

Peut-être, mais rien n'est confirmé. Ce dongle fait l'objet d'un signalement encore ouvert (ticket #5026). La 18.4 ajoute le firmware du RTL8761CU, mais seul le RTL8761B (0bda:a728) est explicitement cité comme corrigé. Testez après la mise à jour, et si le problème persiste, revenez en arrière avec ha os boot-slot other.

Mes appareils Zigbee ou Z-Wave sont-ils concernés ?

Pas directement. Les protocoles radio n'utilisent pas de certificats web publics, et l'app Z-Wave JS n'a jamais contenu la racine compromise, selon le test communautaire. Seuls les composants qui se connectent à Internet en HTTPS sont concernés.

Sources : notes de version de Home Assistant OS 18.4, ticket Supervisor #7424 et réponses des mainteneurs, communiqués de Google, Mozilla et eMudhra. État vérifié le 28 octobre 2026.