Actualités¶

Incus 7.5 est maintenant disponible¶

25 sept. 2026

L’équipe d’Incus est heureuse d’annoncer la sortie d’Incus 7.5 !

Cette nouvelle version apporte une fois encore un ensemble de nouvelles fonctionnalités, tant sur le stockage, le réseau, les clusters, le contrôle d’accès, les conteneurs OCI, que sur les agents. La performance des très grands environnements est également significativement améliorée et un bon nombre de bugs et vulnérabilités de sécurité ont été corrigés.

Comme d’habitude, vous pouvez l’essayer vous-même en ligne : https://linuxcontainers.org/incus/try-it/

NOTE : Le numéro de cette nouvelle version est 7.5.1, puisque le processus de construction de la version 7.5.0 comportait des erreurs et des correctifs ont dû être appliqués.

Correctifs de sécurité¶

Cette version corrige 11 vulnérabilités :

• CVE-2026-85185 (critique) – Arbitrary file deletion and directory placement on host via btrfs subvolume path traversal in optimized backups and migration
• CVE-2026-85526 (critique) – Arbitrary file deletion and directory placement on host via btrfs subvolume path traversal in optimized backups
• GHSA-443p-7392-h4v2 (modérée) – Restricted project can use pull mode migration through clustered refresh
• GHSA-4cph-ccqv-hm3c (critique) – Project restriction bypass for block.create_options via volume update, copy and move
• GHSA-579w-c4rw-c8q3 (critique) – Arbitrary file write on host via symlink in migration stream
• GHSA-hpjh-q53p-f27r (critique) – Arbitrary file write on host via path traversal in instance backup dependent volumes
• GHSA-jh4v-j34r-2mgh (haute) – Project restriction bypass for custom volume copy with omitted source type
• GHSA-mfwv-x733-9446 (modérée) – Authorization bypass lets a restricted client read any operation in another project
• GHSA-mmj7-8rgf-mx2h (haute) – Read of other bucket objects via unsigned header on presigned S3 upload URL
• GHSA-wfvq-qh87-gm4j (modérée) – Incus CLI arbitrary file write via malicious incus-agent during recursive file pull
• GHSA-x8gj-2q73-qr6j (haute) – Restricted client can read storage bucket keys in the default project

Nouvelles fonctionnalités¶

Réseaux OVN enfants¶

Les réseaux OVN peuvent désormais être créés avec une option parent pointant sur un autre réseau OVN du même projet.

Plutôt que d’obtenir un routeur logique dédidé, les réseaux enfants attachent leur switch logique et leur sous-réseau au routeur logique du parent. Cela permet de router plusieurs sous-réseaux internes avec un seul routeur logique partageant son uplink, ses adresses externes et ses pairs.

stgraber@vorash:~$ incus network create net1 --type=ovn network=UPLINK ipv4.address=192.0.2.1/24
stgraber@vorash:~$ incus network create net2 --type=ovn parent=net1 ipv4.address=198.51.100.1/24
stgraber@vorash:~$ incus launch images:debian/13 c1 --network net2

Un réseau enfant conserve son propre sous-réseau, son DHCP, ses enregistrements DNS, ses ACL et ses ports d’instance. Il peut gérer le NAT de manière indépendante du parent et utiliser ipv4.nat.address et ipv6.nat.address pour traduire les IP vers l’adresse de son choix, permettant d’avoir sur un même routeur un sous-réseau NATé et un autre routé nativement.

Les pairs sont gérés par le réseau parent et couvrent les sous-réseaux de tous les enfants.

Documentation : https://linuxcontainers.org/incus/docs/main/reference/network_ovn/#child-networks

Migration de projet à chaud dans un cluster¶

Une instance en cours d’exécution peut désormais être migrée à chaud vers un projet différent sur un autre membre du cluster, en combinant --target-project et --target.

stgraber@vorash:~$ incus move v1 --target incus02 --target-project prod

Les périphériques de l’instance doivent correspondre sur le projet cible.
Les volumes de stockage personnalisés marqués comme dependent suivent l’instance lors de la migration.

Documentation : https://linuxcontainers.org/incus/docs/main/howto/move_instances/

Copie de fichiers à la première utilisation d’un volume personnalisé¶

Les périphériques disk utilisant un volume de stockage personnalisé et attachés à un conteneur disposent d’une nouvelle propriété initial.copy.

Lorsque celle-ci est définie à true, les données déjà présentes dans le chemin path à l’intérieur du conteneur sont copiées dans le volume à sa première utilisation, si ce dernier est vide. Cela correspond au comportement attendu pour les conteneurs d’application, dans lesquels des données initiales peuvent être présentes avant le montage de volumes par-dessus.

stgraber@vorash:~$ incus storage volume create default mysql-data
stgraber@vorash:~$ incus config device add mysql data disk pool=default source=mysql-data path=/var/lib/mysql initial.copy=true

La copie ne se produit qu’une fois par volume, et l’état est stocké dans la clef volatile.initial.copied du volume.

Documentation : https://linuxcontainers.org/incus/docs/main/reference/devices_disk/#initial-copy

Étiquettes de sécurité pour les instances¶

Une nouvelle clef de configuration d’instance security.tags permet de stocker une liste d’étiquettes séparées par des virgules.

Incus n’utilise pas ces étiquettes directement dans ses décisions d’autorisation, mais celles-ci sont exposées au backend d’autorisation. Avec OpenFGA, chaque étiquette devient un objet security_tag doté d’une relation tag avec toutes les instances sur lesquelles celle-ci est définie, permettant la gestion de politiques d’accès par catégories d’instances et plus par noms seuls.

stgraber@vorash:~$ incus config set c1 security.tags=pci,production

Documentation : https://linuxcontainers.org/incus/docs/main/authorization/#security-tags

Claims OIDC dans le scriptlet d’autorisation¶

L’argument details passé au scriptlet d’autorisation a désormais un champ Claims portant les claims validés du jeton OIDC du client.

Cela permet l’écriture de règles dépendant des claims du fournisseur d’identité, par exemple groups ou email, sans devoir en coder la logique dans le scriptlet.

Documentation : https://linuxcontainers.org/incus/docs/main/authorization/#scriptlet

Métriques pour les membres d’un cluster¶

L’endpoint /1.0/metrics renvoie désormais les informations des membres du cluster :

• incus_cluster_member, avec l’architecture et le domaine de défaillance du membre ;
• incus_cluster_member_status, avec une ligne par état ;
• incus_cluster_member_role, avec une ligne par rôle ;
• incus_cluster_member_group, avec une ligne par groupe auquel le membre appartient.

Cela simplifie la mise en place d’alertes en cas d’indisponibilité ou d’évacuation de membres d’un cluster, directement depuis Prometheus.

Documentation : https://linuxcontainers.org/incus/docs/main/reference/provided_metrics/

NVIDIA GPUDirect P2P pour les machines virtuelles¶

Les périphériques physiques gpu passés à une machine virtuelle ont désormais une clef de configuration nvidia.clique.

Définir le même numéro de clique (entre 0 et 15) sur plusieurs GPU passés à la même machine virtuelle les annonce au driver invité comme faisant partie d’une même clique GPUDirect P2P, permettant de faire du DMA entre les GPU.

Documentation : https://linuxcontainers.org/incus/docs/main/reference/devices_gpu/

Améliorations dans l’agent Windows¶

L’agent Windows permet désormais de lancer des sessions incus exec interactives, et gère mieux l’échange de signaux.

Machines virtuelles NetBSD¶

L’agent Incus est à présent disponible pour les invités NetBSD, ajoutant l’OS à la liste des OS Linux, FreeBSD, macOS et Windows déjà supportés.

Comme pour les autres systèmes BSD, définir image.os à une valeur débutant par NetBSD appliquera automatiquement un paramétrage adapté à la machine virtuelle.

Paquet FreeBSD pour le client en ligne de commande¶

Le client Incus est maintenant packagé dans FreeBSD Ports et peut être installé avec pkg install incus-client. Des binaires du client précompilés pour FreeBSD sont également fournis à chaque nouvelle version d’Incus.

Transfert de fichiers en mode archive¶

Les commandes incus file push et incus file pull ont désormais un drapeau --archive (ou -a), se comportant comme cp -a.

La propriété des fichiers, leur mode et leurs timestamps ne sont désormais préservés qu’avec cette option (qui active implicitement --recursive), les transferts réguliers se comportant à présent comme avec cp.

stgraber@vorash:~$ incus file pull --archive c1/etc/ ./etc-backup/

Étiquettes et environnement des images OCI¶

Les images importées depuis des registres OCI exposent à présent leurs étiquettes standards (org.opencontainers.image.*) comme des propriétés d’image oci.*, permettant de voir les informations telles que le titre, la version, la source ou encore la description de l’image dans incus image info, et de les afficher dans des colonnes dédiées avec incus image list.

L’environnement de l’image n’est désormais plus copié dans la configuration de l’instance au moment de sa création. Au lieu de cela, il est utilisé comme environnement par défaut dans incus exec, ne polluant pas la configuration de l’instance, et permettant à des mises à jour de l’image de changer cet environnement.

Paramétrage de l’usage de /etc/hosts dans le DNS des réseaux bridge¶

Les réseaux bridge ont désormais une clef de configuration dns.include_hosts, contrôlant si le dnsmasq dédié au réseau crée des enregistrements pour le fichier /etc/hosts de l’hôte.

Définir la propriété à false permet d’éviter d’exposer les enregistrements de l’hôte aux instances, préservant le confinement AppArmor.

Documentation : https://linuxcontainers.org/incus/docs/main/reference/network_bridge/

Profilage des performances via l’API¶

Le profilage Go d’incusd via pprof est maintenant disponible sous /internal/debug/pprof/, restreint aux clients autorisés à administrer le serveur.

Contrairement à core.debug_address, l’endpoint d’API fonctionne en permanence en HTTPS sans changement de la configuration du serveur.

stgraber@vorash:~$ incus query --raw my-remote:/internal/debug/pprof/heap > heap.pprof
stgraber@vorash:~$ go tool pprof heap.pprof

Documentation : https://linuxcontainers.org/incus/docs/main/debugging/#profiling-incusd

Liste complète des changements¶

Voici une liste complète de tous les changements apportés par cette version :

Documentation¶

La documentation d’Incus peut être consultée sur :

https://linuxcontainers.org/incus/docs/main/

Paquets¶

Incus ne fournit pas de paquet d’installation mais bien un tarball à chaque version. Vous trouverez ci-dessous différentes solutions pour mettre Incus en service.

Installation du serveur Incus sous Linux¶

Incus est disponible sur la plupart des distributions Linux courantes. Vous trouverez des instructions d’installation détaillées dans notre documentation.

https://linuxcontainers.org/incus/docs/main/installing/

Paquet Homebrew du client Incus¶

Le client Incus est disponible sur Homebrew pour Linux et macOS.

https://formulae.brew.sh/formula/incus

Paquet Chocolatey du client Incus¶

Le client Incus est disponible sur Chocolatey pour les utilisateurs de Windows.

https://community.chocolatey.org/packages/incus/7.5.1

Paquet Winget du client Incus¶

Le client Incus est aussi disponible sur Winget pour les utilisateurs de Windows.

https://winstall.app/apps/LinuxContainers.Incus

Support¶

Les versions de fonctionnalité d’Incus ne sont supportées que jusqu’à la sortie de la suivante. Les personnes souhaitant un support plus long et des changements moins fréquents devraient plutôt envisager d’utiliser Incus 7.0 LTS.

Le support communautaire est disponible sur : https://discuss.linuxcontainers.org
Un support commercial est disponible sur : https://zabbly.com/incus
Les bugs peuvent être signalés sur : https://github.com/lxc/incus/issues

Incus 7.4 est maintenant disponible¶

28 août 2026

L’équipe d’Incus est heureuse d’annoncer la sortie d’Incus 7.4 !

Ce fut encore un mois bien rempli pour nous, avec au programme un grand ménage dans les problèmes nous ayant été remontés sur Github, des résolutions de bugs assez anciens et un bon nombre de nouvelles fonctionnalités !

Comme d’habitude, vous pouvez l’essayer vous-même en ligne : https://linuxcontainers.org/incus/try-it/

Correctifs de sécurité¶

Cette version corrige 2 vulnérabilités :

• CVE-2026-81500 (modérée) – Client-side path traversal when exporting an image from a malicious server
• CVE-2026-81501 (modérée) – Private image import from another project by a restricted client

Nouvelles fonctionnalités¶

Gestion des clefs UEFI Secure Boot¶

Suite à l’ajout de la fonctionnalité d’interaction avec la NVRAM dans Incus 7.3, cette nouvelle version ajoute tout un outillage autour des bases de clefs UEFI Secure Boot pour les machines virtuelles.

Une nouvelle commande incus low-level secureboot permet de lister, ajouter, supprimer, exporter et importer des entrées de bases de clefs Secure Boot.

stgraber@vorash:~$ incus low-level secureboot list v1 db
┌──────┬───────────────────────┬──────────────┬───────────────────────────────────────┐
│ TYPE │    OWNER GUID NAME    │ FINGERPRINT  │                SUBJECT                │
├──────┼───────────────────────┼──────────────┼───────────────────────────────────────┤
│ x509 │ MICROSOFT_VENDOR_GUID │ 48e99b991f57 │ Microsoft Corporation UEFI CA 2011    │
│      │                       ├──────────────┼───────────────────────────────────────┤
│      │                       │ 076f1fea90ac │ Windows UEFI CA 2023                  │
│      │                       ├──────────────┼───────────────────────────────────────┤
│      │                       │ e5be3e64c6e6 │ Microsoft Option ROM UEFI CA 2023     │
│      │                       ├──────────────┼───────────────────────────────────────┤
│      │                       │ e8e95f0733a5 │ Microsoft Windows Production PCA 2011 │
│      │                       ├──────────────┼───────────────────────────────────────┤
│      │                       │ f6124e34125b │ Microsoft UEFI CA 2023                │
└──────┴───────────────────────┴──────────────┴───────────────────────────────────────┘

Les personnes souhaitant un contrôle total de l’état de base de la NVRAM peuvent à présent utiliser le nouvel ensemble de clefs de configuration d’instance initial.*, idéal pour des profils.

• initial.secureboot.pk, initial.secureboot.kek, initial.secureboot.db, initial.secureboot.dbx, initial.secureboot.dbt et initial.secureboot.mok, pour enrôler des clefs dans l’une des bases de clefs Secure Boot ;
• initial.nvram.<GUID>.<nom> et initial.nvram-binary.<GUID>.<nom>, pour définir des variables dans la NVRAM.

Documentation : https://linuxcontainers.org/incus/docs/main/reference/instance_options/

Migration quasi à chaud de conteneurs¶

La migration à chaud de conteneurs via CRIU a toujours été assez fragile, puisqu’elle impose aux processus de n’utiliser que des fonctionnalités compatibles avec CRIU.

Incus 7.4 ajoute une alternative pour les conteneurs tournant sur du stockage local, la migration quasi à chaud.

Plutôt que de transférer l’état de la mémoire, seul le système de fichiers est transféré au serveur cible, par l’intermédiaire d’une série d’instantanés incrémentaux à chaud. Seul le dernier instantané demande l’arrêt du conteneur, après quoi il est démarré à nouveau sur le serveur cible.

Il ne s’agit pas d’une migration à chaud puisque le conteneur est redémarré, mais le temps d’arrêt est limité au dernier transfert d’instantané, lequel est habituellement très rapide, permettant à des gros conteneurs d’être déplacés avec très peu d’indisponibilité.

La fonctionnalité peut être utilisée avec le nouveau drapeau --refresh de incus move, à la fois pour des déplacements au sein d’un cluster ou vers des serveurs distants :

stgraber@vorash:~$ incus move c1 --target incus02 --stateless --refresh

ou

stgraber@vorash:~$ incus move c1 remote-server:c1 --stateless --refresh

Une valeur refresh-migrate correspondante est maintenant disponible pour la clef de configuration d’instance cluster.evacuate, permettant d’utiliser ce comportement lors des évacuations.

Notez que la fonctionnalité ne concerne que les conteneurs et n’est disponible que pour ZFS et btrfs, les autres drivers de stockage ne disposant pas de mécanisme de transfert d’instantanés efficace entre serveurs.

Documentation : https://linuxcontainers.org/incus/docs/main/howto/move_instances/

Modification temporaire de la séquence de démarrage des VM¶

La commande incus start a désormais un nouveau drapeau --override-boot permettant de choisir, pour une VM, la prochaine entrée de démarrage utilisée.

Il est possible de passer soit le numéro de la prochaine entrée de démarrage, soit aucun paramètre, auquel cas une liste interactive des options disponibles est présentée.

stgraber@vorash:~$ incus start v1 --override-boot
┌────┬────────────────────────────────┬────────────────────────────────────────────────────────────────────────────────────────┐
│ ID │          DESCRIPTION           │                                          PATH                                          │
├────┼────────────────────────────────┼────────────────────────────────────────────────────────────────────────────────────────┤
│ 0  │ BootManagerMenuApp             │ Fv(64074afe-340a-4be6-94ba-91b5b4d0f71e)/FvFile(eec25bdc-67f2-4d95-b1d5-f81b2039d11d)  │
├────┼────────────────────────────────┼────────────────────────────────────────────────────────────────────────────────────────┤
│ 1  │ EFI Firmware Setup             │ Fv(64074afe-340a-4be6-94ba-91b5b4d0f71e)/FvFile(462caa21-7614-4503-836e-8ab6f4662331)  │
├────┼────────────────────────────────┼────────────────────────────────────────────────────────────────────────────────────────┤
│ 2  │ UEFI QEMU QEMU HARDDISK        │ PciRoot(0x0)/Pci(0x1,0x1)/Pci(0x0,0x0)/Scsi(0x0,0x1)                                   │
├────┼────────────────────────────────┼────────────────────────────────────────────────────────────────────────────────────────┤
│ 3  │ UEFI PXEv4 (MAC:10666AA0CED7)  │ PciRoot(0x0)/Pci(0x1,0x4)/Pci(0x0,0x0)/MAC(10666aa0ced7,0x1)/IPv4(0.0.0.0,0x0)         │
├────┼────────────────────────────────┼────────────────────────────────────────────────────────────────────────────────────────┤
│ 4  │ UEFI PXEv6 (MAC:10666AA0CED7)  │ PciRoot(0x0)/Pci(0x1,0x4)/Pci(0x0,0x0)/MAC(10666aa0ced7,0x1)/IPv6(::,0x0,Static)       │
├────┼────────────────────────────────┼────────────────────────────────────────────────────────────────────────────────────────┤
│ 5  │ UEFI HTTPv4 (MAC:10666AA0CED7) │ PciRoot(0x0)/Pci(0x1,0x4)/Pci(0x0,0x0)/MAC(10666aa0ced7,0x1)/IPv4(0.0.0.0,0x0)/Uri()   │
├────┼────────────────────────────────┼────────────────────────────────────────────────────────────────────────────────────────┤
│ 6  │ UEFI HTTPv6 (MAC:10666AA0CED7) │ PciRoot(0x0)/Pci(0x1,0x4)/Pci(0x0,0x0)/MAC(10666aa0ced7,0x1)/IPv6(::,0x0,Static)/Uri() │
└────┴────────────────────────────────┴────────────────────────────────────────────────────────────────────────────────────────┘
Select next boot entry: 1

Partage de réseaux avec des projets restreints¶

Les projets dans lesquels features.networks est activé peuvent désormais se voir accorder l’accès à une liste de réseaux du projet default, via la clef de configuration restricted.networks.access.

Les réseaux ainsi listés sont partagés avec le projet, apparaissent dans incus network list, et sont utilisables par les instances du projet. Il est bien sûr toujours possible pour le projet de gérer ses propres réseaux dédiés via OVN. La fonctionnalité permet de fournir un bridge ou un uplink commun à un projet restreint, sans sacrifier la possibilité pour celui-ci de gérer ses propres réseaux.

Documentation : https://linuxcontainers.org/incus/docs/main/reference/projects/

Support de DNS NOTIFY pour les zones réseau¶

Le serveur DNS interne utilisé pour gérer les zones réseau envoie désormais des messages DNS NOTIFY à tous les pairs configurés dès que le contenu d’une zone change.

Cela permet aux serveurs DNS secondaires de rafraîchir les zones sans avoir à attendre le délai de rafraîchissement de celles-ci. De ce fait, ce délai a été augmenté à 15 minutes.

Documentation : https://linuxcontainers.org/incus/docs/main/howto/network_zones/

Nouveau rendu des tableaux dans la CLI¶

Nous avons modifié l’affichage des listes dans la CLI, offrant un rendu plus propre et légèrement plus compact.

stgraber@vorash:~$ incus list
┌─────────────┬─────────┬─────────────────────────┬──────────────────────────────────────────────────┬─────────────────┬───────────┐
│    NAME     │  STATE  │          IPV4           │                       IPV6                       │      TYPE       │ SNAPSHOTS │
├─────────────┼─────────┼─────────────────────────┼──────────────────────────────────────────────────┼─────────────────┼───────────┤
│ caddy-test  │ STOPPED │                         │                                                  │ CONTAINER (APP) │ 0         │
├─────────────┼─────────┼─────────────────────────┼──────────────────────────────────────────────────┼─────────────────┼───────────┤
│ dev-os      │ STOPPED │                         │                                                  │ VIRTUAL-MACHINE │ 1         │
├─────────────┼─────────┼─────────────────────────┼──────────────────────────────────────────────────┼─────────────────┼───────────┤
│ isolated-oc │ STOPPED │                         │                                                  │ VIRTUAL-MACHINE │ 0         │
├─────────────┼─────────┼─────────────────────────┼──────────────────────────────────────────────────┼─────────────────┼───────────┤
│ rhel10      │ RUNNING │ 10.10.10.225 (eth0)     │ 2602:fc62:ef:1010:1266:6aff:fe69:dd25 (eth0)     │ CONTAINER (APP) │ 0         │
├─────────────┼─────────┼─────────────────────────┼──────────────────────────────────────────────────┼─────────────────┼───────────┤
│ rl9         │ RUNNING │ 10.10.10.60 (enp5s0)    │ 2602:fc62:ef:1010:fac2:13b0:9ad7:918e (enp5s0)   │ VIRTUAL-MACHINE │ 0         │
├─────────────┼─────────┼─────────────────────────┼──────────────────────────────────────────────────┼─────────────────┼───────────┤
│ test        │ RUNNING │ 10.226.131.1 (incusbr0) │ fd42:10b9:5a70:b459::1 (incusbr0)                │ VIRTUAL-MACHINE │ 0         │
│             │         │ 10.10.10.73 (_venp5s0)  │ 2602:fc62:ef:1010:1266:6aff:fe11:9cfd (_venp5s0) │                 │           │
├─────────────┼─────────┼─────────────────────────┼──────────────────────────────────────────────────┼─────────────────┼───────────┤
│ u24         │ RUNNING │ 10.10.10.66 (enp5s0)    │ 2602:fc62:ef:1010:1266:6aff:fe22:9e8 (enp5s0)    │ VIRTUAL-MACHINE │ 0         │
├─────────────┼─────────┼─────────────────────────┼──────────────────────────────────────────────────┼─────────────────┼───────────┤
│ v1          │ RUNNING │ 10.76.140.1 (incusbr0)  │ fd42:75ef:6c01:accd::1 (incusbr0)                │ VIRTUAL-MACHINE │ 0         │
│             │         │ 10.10.10.69 (enp5s0)    │ 2602:fc62:ef:1010:1266:6aff:fe17:7e7f (enp5s0)   │                 │           │
└─────────────┴─────────┴─────────────────────────┴──────────────────────────────────────────────────┴─────────────────┴───────────┘

Backend librbd pour Ceph RBD¶

Le driver de stockage ceph a désormais une clef de configuration ceph.rbd.backend.

Lorsque celle-ci est définie à librbd, l’accès aux volumes se fait par l’intermédiaire de librbd et non du driver RBD du noyau (krbd).

Cela permet d’utiliser les fonctionnalités de RBD qui ne sont pas supportées par le driver du noyau, et peut aider dans les environnements dans lesquels celui-ci présente des problèmes de stabilité.

Documentation : https://linuxcontainers.org/incus/docs/main/reference/storage_ceph/

Récupération de pools de stockage partagés dans un cluster¶

incus admin recover peut à présent récupérer des pools de stockage partagés sur les serveurs en cluster, permettant de restaurer les données des clusters ayant perdu leur base de données.

La procédure considère que la même configuration est utilisée sur chaque serveur du cluster, et que celui qui traite la requête de récupération prendra le contrôle de tout ce qui est récupérable.

Documentation : https://linuxcontainers.org/incus/docs/main/howto/disaster_recovery/

Certificats client propres aux serveurs distants¶

incus remote add a désormais des drapeaux --tls-cert, --tls-key et --tls-p12, permettant de charger un certificat client propre au serveur distant créé.

La fonctionnalité permet notamment de travailler dans des environnements dans lesquels l’accès aux serveurs est géré par des certificats générés transmis aux utilisateurs, et non des jetons de confiance.

De tels environnements peuvent par example se retrouver dans des entreprises gérant leur propre CA interne.
Un autre exemple d’utilisation est la possibilité de télécharger IncusOS pré-provisionné avec un certificat client créé automatiquement.

stgraber@vorash:~$ incus remote add incus-os https://10.10.10.100 --tls-p12 ~/Downloads/client.pfx 
Password for /home/stgraber/Downloads/client.pfx:

Support des en-têtes et des données binaires pour les requêtes brutes vers l’API¶

incus query permet désormais d’utiliser des en-têtes HTTP personnalisés avec le drapeau -H.

Il est également possible à présent de transmettre des données binaires avec incus query par l’intermédiaire de l’option --data-file.

Cela permet d’utiliser la commande avec des endpoints d’API s’attendant à recevoir des en-têtes particuliers ou des données binaires, comme c’est le cas pour l’API des fichiers.

stgraber@vorash:~$ incus query -X POST --data-file ./f.txt -H "X-Incus-type: file" -H "X-Incus-mode: 0600" /1.0/instances/c1/files?path=/root/f.txt

Accès à la NVRAM depuis le scriptlet QEMU¶

Le scriptlet QEMU peut désormais inspecter et modifier la NVRAM au travers des nouvelles fonctions suivantes :

• get_nvram_var
• has_nvram_var
• set_nvram_var
• unset_nvram_var
• get_raw_nvram_var
• set_raw_nvram_var
• list_nvram_vars

Documentation : https://linuxcontainers.org/incus/docs/main/reference/instance_options/#qemu-scriptlet

Configuration du multicast sur OVN¶

Les réseaux OVN ont désormais deux nouvelles clefs de configuration, bridge.multicast_snooping et bridge.multicast_relay.

La première contrôle le snooping IGMP/MLD sur le switch virtuel, ne transmettant le trafic multicast qu’aux ports ayant souscrit au groupe, et la seconde permet de relayer le trafic multicast via le routeur logique du réseau.

Documentation : https://linuxcontainers.org/incus/docs/main/reference/network_ovn/

Contrôle des annonces de routeur IPv6¶

Une nouvelle clef de configuration ipv6.ra est maintenant disponible pour les réseaux bridge et ovn, contrôlant si les annonces de routeur IPv6 sont envoyées sur le réseau.

Limites d’E/S en pointe pour les disques¶

Les périphériques disk attachés à des VM disposent des nouvelles clefs de configuration limits.read.burst, limits.write.burst et limits.max.burst, avec la même syntaxe que les limites classiques (octets et/ou opérations par seconde), permettant de définir les limites autorisées en pointe.

Les clefs correspondantes limits.read.burst.length, limits.write.burst.length et limits.max.burst.length définissent la durée des pointes (par défaut une seconde).

Documentation : https://linuxcontainers.org/incus/docs/main/reference/devices_disk/

Limites d’E/S en pointe pour les cartes réseau¶

Les périphériques nic disposent des nouvelles clefs de configuration limits.ingress.bucket, limits.egress.bucket et limits.max.bucket permettant de définir la quantité de données (en bits) pouvant être utilisée au-delà de la limite autorisée. Les cartes réseau bridged, p2p et routed disposent également à présent des clefs limits.ingress.burst, limits.egress.burst et limits.max.burst contrôlant le débit maximal des pointes.

Les cartes ovn ne disposent que des clefs en .bucket.

Politiques de mise en file pour les cartes réseau¶

Les cartes réseau bridged, p2p et routed ont une nouvelle clef de configuration queue.discipline contrôlant la politique de mise en file utilisée côté hôte.

Pour les machines virtuelles, le côté hôte d’une interface est un périphérique TAP avec plusieurs files, et queue.discipline.attach contrôle si la politique est attachée à chaque file (queue) ou à l’interface entière (root).

Documentation : https://linuxcontainers.org/incus/docs/main/reference/devices_nic/

Colonnes pour les propriétés des images¶

incus image list supporte à présent des colonnes personnalisées properties:CLEF, ajoutant une colonne pour chaque propriété demandée.

stgraber@vorash:~$ incus image list images: debian/13 --columns lfpd,properties:os,properties:release,properties:variant
┌──────────────────────────────────┬──────────────┬────────┬────────────────────────────────────────────────┬────────┬─────────┬─────────┐
│              ALIAS               │ FINGERPRINT  │ PUBLIC │                  DESCRIPTION                   │   OS   │ RELEASE │ VARIANT │
├──────────────────────────────────┼──────────────┼────────┼────────────────────────────────────────────────┼────────┼─────────┼─────────┤
│ debian/13 (7 more)               │ 065c3e644af0 │ yes    │ Debian trixie amd64 (20260827_05:24)           │ Debian │ trixie  │ default │
│                                  ├──────────────┼────────┼────────────────────────────────────────────────┼────────┼─────────┼─────────┤
│                                  │ b8a6f9f60d67 │ yes    │ Debian trixie amd64 (20260827_05:24)           │ Debian │ trixie  │ default │
├──────────────────────────────────┼──────────────┼────────┼────────────────────────────────────────────────┼────────┼─────────┼─────────┤
│ debian/13/arm64 (3 more)         │ 4189835984b2 │ yes    │ Debian trixie arm64 (20260827_05:24)           │ Debian │ trixie  │ default │
│                                  ├──────────────┼────────┼────────────────────────────────────────────────┼────────┼─────────┼─────────┤
│                                  │ e08e7964a29a │ yes    │ Debian trixie arm64 (20260827_05:24)           │ Debian │ trixie  │ default │
└──────────────────────────────────┴──────────────┴────────┴────────────────────────────────────────────────┴────────┴─────────┴─────────┘

Localisation des images dans un cluster¶

Les images d’un cluster indiquent désormais dans un champ locations la liste des serveurs du cluster qui en possèdent une copie.

Interdiction de démarrer des instances¶

Une nouvelle clef de configuration d’instance security.protection.start a été ajoutée. Lorsqu’elle est définie à true, elle empêche le démarrage de l’instance.

La fonctionnalité est particulièrement intéressante pour définir des modèles d’instances ou gérer des environnements décommissionnés ou dédiés au seul stockage de sauvegardes.

stgraber@vorash:~$ incus config set c1 security.protection.start=true
stgraber@vorash:~$ incus start c1
Error: Instance is protected against being started

Certificat d’endpoint Ceph Object¶

La clef de configuration cephobject.radosgw.endpoint_cert_file pour les pools de stockage cephobject a été remplacée par cephobject.radosgw.endpoint_cert.

Incus tente de limiter autant que possible les références à des fichiers locaux dans sa configuration, au vu de la difficulté de gérer ceux-ci dans des environnements en cluster.

Documentation : https://linuxcontainers.org/incus/docs/main/reference/storage_cephobject/

Mise à jour des dépendances minimales¶

Avec la sortie de Go 1.27, Incus demande à présent au moins Go 1.26.

De plus, les améliorations récentes dans notre support d’OVN demandent maintenant au moins OVS 3.3.0 et OVN 24.03.0.

Liste complète des changements¶

Voici une liste complète de tous les changements apportés par cette version :

Documentation¶

La documentation d’Incus peut être consultée sur :

https://linuxcontainers.org/incus/docs/main/

Paquets¶

Incus ne fournit pas de paquet d’installation mais bien un tarball à chaque version. Vous trouverez ci-dessous différentes solutions pour mettre Incus en service.

Installation du serveur Incus sous Linux¶

Incus est disponible sur la plupart des distributions Linux courantes. Vous trouverez des instructions d’installation détaillées dans notre documentation.

https://linuxcontainers.org/incus/docs/main/installing/

Paquet Homebrew du client Incus¶

Le client Incus est disponible sur Homebrew pour Linux et macOS.

https://formulae.brew.sh/formula/incus

Paquet Chocolatey du client Incus¶

Le client Incus est disponible sur Chocolatey pour les utilisateurs de Windows.

https://community.chocolatey.org/packages/incus/7.4.0

Paquet Winget du client Incus¶

Le client Incus est aussi disponible sur Winget pour les utilisateurs de Windows.

https://winstall.app/apps/LinuxContainers.Incus

Support¶

Les versions de fonctionnalité d’Incus ne sont supportées que jusqu’à la sortie de la suivante. Les personnes souhaitant un support plus long et des changements moins fréquents devraient plutôt envisager d’utiliser Incus 7.0 LTS.

Le support communautaire est disponible sur : https://discuss.linuxcontainers.org
Un support commercial est disponible sur : https://zabbly.com/incus
Les bugs peuvent être signalés sur : https://github.com/lxc/incus/issues

Incus 7.3 est maintenant disponible¶

31 juil. 2026

L’équipe d’Incus est heureuse d’annoncer la sortie d’Incus 7.3 !

Cette nouvelle version est assez riche, que ce soit du point de vue des nouvelles fonctionnalités, de l’amélioration des performances, de la résolution de bugs, ou encore des correctifs de sécurité.

Comme d’habitude, vous pouvez l’essayer vous-même en ligne : https://linuxcontainers.org/incus/try-it/

Correctifs de sécurité¶

Cette version corrige 13 vulnérabilités :

• CVE-2026-62867 (critique) – Argument injection through storage volume block.create_options
• CVE-2026-62940 (critique) – Project restriction bypass via instance migration config override
• CVE-2026-62941 (critique) – Project restriction bypass via cross-project instance copy
• CVE-2026-63125 (critique) – Arbitrary file write on host via backup.yaml symlink in crafted image
• CVE-2026-63343 (critique) – Arbitrary file read+write on host via metadata.yaml symlink in crafted image
• GHSA-26gp-p5fw-3r2h (critique) – Arbitrary file write on host via path traversal in instance backup import
• GHSA-67qw-68v3-36h6 (critique) – Arbitrary file write on host via path traversal in custom volume import
• GHSA-7fj9-65v4-rp7h (critique) – Arbitrary file write on host via image-planted symlinks and oci.dns.* newline injection
• GHSA-p2v3-6wvc-cv3p (critique) – Arbitrary file write on host via image fingerprint path traversal
• GHSA-4qxq-p5hm-3q3p (haute) – Arbitrary file read+write on host via VM template path traversal
• GHSA-m3j6-p3v3-qmjv (haute) – Container configuration newline injection through nvidia.driver.capabilities
• CVE-2026-62313 (modérée) – Project isolation restriction bypass by omitting security.idmap.isolated
• GHSA-6v6x-387m-rj4w (modérée) – Project restriction bypass on network address sets

Notez que certaines de ces vulnérabilités ne se sont pas encore vu attribuer de CVE, du fait de délais de traitement chez GitHub de 3 à 4 semaines actuellement. Nous avons demandé l’attribution de CVE pour chacunes des vulnérabilités ci-dessus ; celles-ci seront ajoutées automatiquement aux GHSA correspondantes une fois allouées.

Nouvelles fonctionnalités¶

Utilisation du contexte natif DRM dans les GPU des machines virtuelles¶

Un nouveau type de GPU, native-context, est maintenant disponible pour les machines virtuelles.

Les GPU de ce type utilisent virglrenderer et un périphérique virtio-gpu pour fournir de l’accélération 3D aux VM.

Contrairement à du passthrough GPU, la fonctionnalité permet de partager un GPU entre plusieurs VM en parallèle.
Actuellement, il semble que seul Linux a les drivers adéquats, laissant les invités Windows non accélérés.

Pour utiliser la fonctionnalité, il suffit de faire :

stgraber@vorash:~$ incus config device add v1 gpu0 gpu gputype=native-context

Documentation : https://linuxcontainers.org/incus/docs/main/reference/devices_gpu/

Gestion des variables UEFI pour les machines virtuelles¶

Incus permet désormais de gérer directement la NVRAM des machines virtuelles.

Cela se fait via la commande incus low-level nvram, qui permet de manipuler la NVRAM en lecture et écriture.

La plupart des variables de la NVRAM peuvent être décomposées et mises à jour, permettant de modifier les périphériques de démarrage, leur ordre, et bien d’autres. Les opérations de modification demandent que la VM soit à l’arrêt. Une amélioration future portera sur le provisionnement de clefs Secure Boot.

De plus, une nouvelle action de réparation rebuild-nvram a été ajoutée dans incus low-level repair, simplifiant la réinitialisation de la NVRAM d’une machine dans un état sain.

stgraber@vorash:~$ incus launch images:debian/13 v1 --vm
Launching v1
stgraber@vorash:~$ incus low-level nvram get v1 Boot0000
binary: CQEAACwAQgBvAG8AdABNAGEAbgBhAGcAZQByAE0AZQBuAHUAQQBwAHAAAAAEBxQAyb24fOv4NE+q6j7kr2UWoQQGFADcW8Lu8meVTbHV+BsgOdEdf/8EAA==
data:
  active: true
  category: app
  description: BootManagerMenuApp
  force_reconnect: false
  hidden: true
  paths:
    - - Fv(7cb8bdc9-f8eb-4f34-aaea-3ee4af6516a1)/FvFile(eec25bdc-67f2-4d95-b1d5-f81b2039d11d)
attributes:
  - NON_VOLATILE
  - BOOTSERVICE_ACCESS
  - RUNTIME_ACCESS

Redirection de port d’instance¶

Une nouvelle commande incus port-forward simplifie l’accès à des services TCP tournant dans des instances.

L’outil en ligne de commande lance un serveur TCP local et redirige toutes les connexions vers l’adresse et le port fournis dans l’instance ou le réseau qui lui est attaché.

stgraber@vorash:~$ incus port-forward my-nginx 80 8080
stgraber@vorash:~$ incus port-forward my-nginx 10.0.3.1:443 0.0.0.0:8443

Améliorations dans la configuration des autoriseurs¶

La configuration relative à l’autorisation a été déplacée dans un nouvel ensemble de clefs authorization.*. Les anciennes clefs de configuration openfga.* sont désormais authorization.openfga.api.url, authorization.openfga.api.token et authorization.openfga.store.id. Les anciennes clefs sont automatiquement migrées lors de la mise à jour.

Cela nous permet de supporter plusieurs drivers d’autorisation en parallèle et de choisir l’un d’eux en fonction du type de requête. Le mécanisme est géré par un nouvel ensemble de clefs :

• authorization.client.default : driver par défaut
• authorization.client.unix : driver pour les clients locaux (socket unix)
• authorization.client.tls : driver pour les clients TLS non restreints
• authorization.client.tls-restricted : driver pour les clients TLS restreints (liés à un projet)
• authorization.client.oidc : driver pour les clients authentifiés via OIDC

Chaque clef accepte allow, deny, openfga ou scriptlet, et tls pour les clients TLS restreints uniquement.

Documentation : https://linuxcontainers.org/incus/docs/main/authorization/

Nouvelle commande incus low-level¶

La commande incus debug a été renommée incus low-level.

Cette commande dispose de plusieurs sous-commandes :

• bitmap (gestion des dirty bitmaps pour les VM)
• nvram (détaillé précédemment)
• repair (actions de réparation pour les instances)

Support de BGP non numéroté¶

Incus supporte à présent le BGP non numéroté pour le peering avec des routeurs externes.

Cela se fait à l’aide d’une nouvelle clef de configuration bgp.peers.NOM.interface, se substituant à bgp.peers.NOM.address.

Lorsque l’option est définie, la session est établie sur l’interface donnée en utilisant BGP non numéroté. L’adresse IPv6 de liaison locale du pair est découverte automatiquement et les routes IPv4 sont échangées via le next-hop étendu.

Documentation : https://linuxcontainers.org/incus/docs/main/howto/network_bgp/

Contrôle de la virtualisation en cascade¶

La clef de configuration d’instance security.nesting s’applique désormais aussi aux machines virtuelles.

Contrairement aux conteneurs, la valeur par défaut est true, afin de conserver le comportement antérieur.
Lorsqu’elle est définie à false, les drapeaux CPU svm et vmx sont désactivés pour la VM invitée.

Une clef de configuration de projet correspondante, restricted.virtual-machines.nesting, a également été ajoutée. Lorsqu’elle est définie à block, toutes les machines virtuelles du projet doivent avoir security.nesting défini à false.

Documentation : https://linuxcontainers.org/incus/docs/main/reference/projects/

Liste des instances dans tous les serveurs distants¶

La commande incus list a désormais un drapeau --all-remotes, listant les instances au travers de tous les serveurs distants configurés (avec une colonne additionnelle pour le nom du serveur).

stgraber@vorash:~$ incus list --all-remotes --all-projects
+------------+---------+-------------+---------+-------------------------+--------------------------------------------------+-----------------+-----------+----------+
|   REMOTE   | PROJECT |    NAME     |  STATE  |          IPV4           |                       IPV6                       |      TYPE       | SNAPSHOTS | LOCATION |
+------------+---------+-------------+---------+-------------------------+--------------------------------------------------+-----------------+-----------+----------+
| local      | default | c1          | RUNNING | 10.80.1.4 (eth0)        | fd42:8b9f:58e4:b6ac:1266:6aff:fe2d:7101 (eth0)   | CONTAINER       | 0         | none     |
+------------+---------+-------------+---------+-------------------------+--------------------------------------------------+-----------------+-----------+----------+
| local      | default | incus-os    | STOPPED |                         |                                                  | VIRTUAL-MACHINE | 0         | none     |
+------------+---------+-------------+---------+-------------------------+--------------------------------------------------+-----------------+-----------+----------+
| local      | default | my-nginx    | STOPPED |                         |                                                  | CONTAINER (APP) | 0         | none     |
+------------+---------+-------------+---------+-------------------------+--------------------------------------------------+-----------------+-----------+----------+
| local      | default | v1          | STOPPED |                         |                                                  | VIRTUAL-MACHINE | 0         | none     |
+------------+---------+-------------+---------+-------------------------+--------------------------------------------------+-----------------+-----------+----------+
| s-castiana | default | caddy-test  | STOPPED |                         |                                                  | CONTAINER (APP) | 0         | none     |
+------------+---------+-------------+---------+-------------------------+--------------------------------------------------+-----------------+-----------+----------+
| s-castiana | default | dev-os      | STOPPED |                         |                                                  | VIRTUAL-MACHINE | 1         | none     |
+------------+---------+-------------+---------+-------------------------+--------------------------------------------------+-----------------+-----------+----------+
| s-castiana | default | isolated-oc | STOPPED |                         |                                                  | VIRTUAL-MACHINE | 0         | none     |
+------------+---------+-------------+---------+-------------------------+--------------------------------------------------+-----------------+-----------+----------+
| s-castiana | default | rhel10      | RUNNING | 10.10.10.225 (eth0)     | 2602:fc62:ef:1010:1266:6aff:fe69:dd25 (eth0)     | CONTAINER (APP) | 0         | none     |
+------------+---------+-------------+---------+-------------------------+--------------------------------------------------+-----------------+-----------+----------+
| s-castiana | default | test        | RUNNING | 10.226.131.1 (incusbr0) | fd42:10b9:5a70:b459::1 (incusbr0)                | VIRTUAL-MACHINE | 0         | none     |
|            |         |             |         | 10.10.10.73 (_venp5s0)  | 2602:fc62:ef:1010:1266:6aff:fe11:9cfd (_venp5s0) |                 |           |          |
+------------+---------+-------------+---------+-------------------------+--------------------------------------------------+-----------------+-----------+----------+
| s-castiana | default | v1          | RUNNING | 10.10.10.80 (enp5s0)    | 2602:fc62:ef:1010:1266:6aff:fe49:20ca (enp5s0)   | VIRTUAL-MACHINE | 0         | none     |
+------------+---------+-------------+---------+-------------------------+--------------------------------------------------+-----------------+-----------+----------+
| s-dakara   | default | c1          | STOPPED |                         |                                                  | CONTAINER       | 0         | none     |
+------------+---------+-------------+---------+-------------------------+--------------------------------------------------+-----------------+-----------+----------+
| s-dakara   | default | dev-os      | STOPPED |                         |                                                  | VIRTUAL-MACHINE | 0         | none     |
+------------+---------+-------------+---------+-------------------------+--------------------------------------------------+-----------------+-----------+----------+
| s-dakara   | default | v1          | RUNNING | 172.17.250.222 (enp5s0) | 2602:fc62:c:250:1266:6aff:feb0:6588 (enp5s0)     | VIRTUAL-MACHINE | 0         | none     |
+------------+---------+-------------+---------+-------------------------+--------------------------------------------------+-----------------+-----------+----------+
| s-dakara   | default | win2003     | STOPPED |                         |                                                  | VIRTUAL-MACHINE | 0         | none     |
+------------+---------+-------------+---------+-------------------------+--------------------------------------------------+-----------------+-----------+----------+
| s-dakara   | default | win2025     | STOPPED |                         |                                                  | VIRTUAL-MACHINE | 0         | none     |
+------------+---------+-------------+---------+-------------------------+--------------------------------------------------+-----------------+-----------+----------+

Amélioration de la gestion de l’agent des VM¶

L’agent des VM peut désormais fonctionner dans des environnement sans virtio-vsock en renvoyant des informations sur l’OS via un lien série. Cela permet a minima de récupérer la configuration IP et l’OS de la VM dans les environnements qui historiquement ne pouvaient pas lancer l’agent.

Amélioration des informations des allocations réseau¶

L’API des allocations réseau renvoie désormais le réseau auquel chaque allocation appartient.

Côté CLI, incus network list-allocations affiche une nouvelle colonne pour le réseau et dispose à présent d’un drapeau --summary pour obtenir une vue plus compacte.

stgraber@vorash:~$ incus network list-allocations
+-------------------------+---------------------------------------------+----------+----------+-----+-------------------+
|         USED BY         |                   ADDRESS                   | NETWORK  |   TYPE   | NAT |    MAC ADDRESS    |
+-------------------------+---------------------------------------------+----------+----------+-----+-------------------+
| /1.0/instances/c1       | 10.80.1.4/32                                | incusbr0 | instance | YES | 10:66:6a:2d:71:01 |
+-------------------------+---------------------------------------------+----------+----------+-----+-------------------+
| /1.0/instances/c1       | fd42:8b9f:58e4:b6ac:1266:6aff:fe2d:7101/128 | incusbr0 | instance | YES | 10:66:6a:2d:71:01 |
+-------------------------+---------------------------------------------+----------+----------+-----+-------------------+
| /1.0/instances/incus-os | fd42:8b9f:58e4:b6ac:1266:6aff:fef3:2d9/128  | incusbr0 | instance | YES | 10:66:6a:f3:02:d9 |
+-------------------------+---------------------------------------------+----------+----------+-----+-------------------+
| /1.0/instances/my-nginx | fd42:8b9f:58e4:b6ac:1266:6aff:fe61:8058/128 | incusbr0 | instance | YES | 10:66:6a:61:80:58 |
+-------------------------+---------------------------------------------+----------+----------+-----+-------------------+
| /1.0/instances/v1       | fd42:8b9f:58e4:b6ac:1266:6aff:fe3f:71f2/128 | incusbr0 | instance | YES | 10:66:6a:3f:71:f2 |
+-------------------------+---------------------------------------------+----------+----------+-----+-------------------+
| /1.0/networks/incusbr0  | 10.80.1.1/24                                | incusbr0 | network  | YES |                   |
+-------------------------+---------------------------------------------+----------+----------+-----+-------------------+
| /1.0/networks/incusbr0  | fd42:8b9f:58e4:b6ac::1/64                   | incusbr0 | network  | YES |                   |
+-------------------------+---------------------------------------------+----------+----------+-----+-------------------+
stgraber@vorash:~$ incus network list-allocations --summary
+----------+--------------------------+-------------------------------------------------------------------------------------------------------------------------------------------------------------------+
| NETWORK  |          SUBNET          |                                                                               USED                                                                                |
+----------+--------------------------+-------------------------------------------------------------------------------------------------------------------------------------------------------------------+
| incusbr0 | 10.80.1.0/24             | 10.80.1.4                                                                                                                                                         |
+----------+--------------------------+-------------------------------------------------------------------------------------------------------------------------------------------------------------------+
| incusbr0 | fd42:8b9f:58e4:b6ac::/64 | fd42:8b9f:58e4:b6ac:1266:6aff:fe2d:7101, fd42:8b9f:58e4:b6ac:1266:6aff:fe3f:71f2, fd42:8b9f:58e4:b6ac:1266:6aff:fe61:8058, fd42:8b9f:58e4:b6ac:1266:6aff:fef3:2d9 |
+----------+--------------------------+-------------------------------------------------------------------------------------------------------------------------------------------------------------------+

Améliorations dans les limites d’E/S¶

Les périphériques unix-block supportent désormais les clefs de configuration limits.read et limits.write, se comportant comme leurs équivalent pour les périphériques disk, et acceptant des valeurs en octets ou opérations d’E/S par seconde.

De plus, il est maintenant possible de définir à la fois des limites en octets et en opérations d’E/S par seconde sur les périphériques disk et unix-block, en les séparant par des virgules.

incus config device set my-vm data limits.read=30MiB,1000iops

Documentation : https://linuxcontainers.org/incus/docs/main/reference/devices_unix_block/

Métriques sur les pools de stockage¶

L’endpoint /1.0/metrics inclut à présent les données d’utilisation des pools de stockage :

• incus_storage_pool_size_bytes{pool="<pool>",driver="<driver>"}
• incus_storage_pool_used_bytes{pool="<pool>",driver="<driver>"}

Documentation : https://linuxcontainers.org/incus/docs/main/metrics/

Support d’ACME External Account Binding¶

L’intégration ACME supporte désormais l’External Account Binding (EAB) par l’intermédiaire de deux nouvelles clefs de configuration de serveur : acme.eab.kid et acme.eab.hmac.

Cela permet d’utiliser des fournisseurs ACME nécessitant des informations d’authentification pré-établies.

Documentation : https://linuxcontainers.org/incus/docs/main/authentication/

Informations sur les clusters de cœurs CPU dans l’API des ressources¶

L’API des ressources retourne désormais un champ cluster pour chaque cœur CPU.
C’est utile pour les environnements ARM big.LITTLE, dans lesquels les identifiants des cœurs ne sont pas uniques par socket, mais par cluster de cœurs.

L’information est visible dans incus info --resources, et est maintenant utilisée dans la logique de validation de la topologie CPU pour les VM.

Installateurs Windows et macOS natifs¶

Les nouvelles versions d’Incus disposent à présent d’installateurs natifs pour le client en ligne de commande, sous la forme d’un paquet MSI pour Windows et PKG pour macOS, construits et publiés automatiquement à chaque version.

Il est important de noter qu’aucun des installateurs n’est signé pour le moment, rendant l’installation potentiellement difficile.

Liste complète des changements¶

Voici une liste complète de tous les changements apportés par cette version :

Documentation¶

La documentation d’Incus peut être consultée sur :

https://linuxcontainers.org/incus/docs/main/

Paquets¶

Incus ne fournit pas de paquet d’installation mais bien un tarball à chaque version. Vous trouverez ci-dessous différentes solutions pour mettre Incus en service.

Installation du serveur Incus sous Linux¶

Incus est disponible sur la plupart des distributions Linux courantes. Vous trouverez des instructions d’installation détaillées dans notre documentation.

https://linuxcontainers.org/incus/docs/main/installing/

Paquet Homebrew du client Incus¶

Le client Incus est disponible sur Homebrew pour Linux et macOS.

https://formulae.brew.sh/formula/incus

Paquet Chocolatey du client Incus¶

Le client Incus est disponible sur Chocolatey pour les utilisateurs de Windows.

https://community.chocolatey.org/packages/incus/7.3.0

Paquet Winget du client Incus¶

Le client Incus est aussi disponible sur Winget pour les utilisateurs de Windows.

https://winstall.app/apps/LinuxContainers.Incus

Support¶

Les versions de fonctionnalité d’Incus ne sont supportées que jusqu’à la sortie de la suivante. Les personnes souhaitant un support plus long et des changements moins fréquents devraient plutôt envisager d’utiliser Incus 7.0 LTS.

Le support communautaire est disponible sur : https://discuss.linuxcontainers.org
Un support commercial est disponible sur : https://zabbly.com/incus
Les bugs peuvent être signalés sur : https://github.com/lxc/incus/issues

Incus 7.0.1 LTS est maintenant disponible¶

10 juil. 2026

Introduction¶

L’équipe d’Incus est heureuse d’annoncer la sortie d’Incus 7.0.1 !
C’est la première version apportant des corrections de bugs pour Incus 7.0, dont le support est assuré jusqu’en juin 2031.

Pour la série de versions 7.0.x, nous découplons les nouvelles versions de correction de bugs pour nos divers projets ; il n’y aura donc pas de nouvelle version pour LXC ou LXCFS accompagnant cette nouvelle version d’Incus.

Changements¶

Comme d’habitude, cette version se concentre sur la stabilité et le hardening.

Des améliorations mineures ont également été rétroportées, en particulier tout ce qui ne nécessite pas de migrations de données, de modifications dans la base de données, ou ne cause pas de changements inattendus dans le comportement observé par l’utilisateur.

Le nombre de ces améliorations pour la branche LTS est amené à diminuer avec le temps.

Les points marquants de cette version sont :

• Reconstruction de volumes de stockage personnalisés
• Topologie CPU explicite pour les machines virtuelles
• Certificats TPM personnalisés
• Création automatique de volume
• Paramètres personnalisés pour la création de systèmes de fichiers
• Configuration LINSTOR de bas niveau
• Plages d’adresses IP dans les ensembles d’adresses réseau
• Contrôle du snooping multicast sur les bridges
• Support de plusieurs adresses par serveur distant
• Améliorations dans le stockage objet S3
• Intégration SELinux par instance
• Nouvelle commande incus default
• Informations serveur filtrées par défaut
• Définition du timeout du keepalive
• Meilleure gestion de la configuration du client sur les différents OS
• Mise à jour des certificats des serveurs non clusterisés
• Configuration réseau statique pour les conteneurs OCI
• Annonce de routes en BGP par instance
• Adresses dynamiques pour les proxys en mode NAT
• Accès NBD étendu
• Compression btrfs pour les volumes de stockage
• Configuration des GUID des VF InfiniBand en SR-IOV
• Restriction de l’origine des websockets

Cette mise à jour corrige également les vulnérabilités suivantes :

• CVE-2026-48753 (critique) – Arbitrary file write via path traversal in S3 multipart upload
• CVE-2026-47753 (faible) – Nil-Pointer Dereference Panic via Instance Backup Import (volume omitted)
• CVE-2026-48754 (faible) – Nil-pointer dereference in createDependentVolumesFromBackup
• CVE-2026-48756 (faible) – Nil-pointer dereference in CreateCustomVolumeFromBackup
• CVE-2026-48749 (critique) – Arbitrary file read+write on host via rootfs/ symlink in malicious image
• CVE-2026-48750 (critique) – Arbitrary file write on host via exec-output symlink in crafted image
• CVE-2026-48751 (critique) – Restricted project bypass leading to arbitrary command execution
• CVE-2026-48752 (critique) – Arbitrary file read+write on host via templates/ symlink in malicious image
• CVE-2026-48755 (critique) – Argument injection in backup compression algorithm leading to arbitrary file write and command execution
• CVE-2026-48769 (critique) – Arbitrary file write on client due to trusted image hash
• CVE-2026-55621 (haute) – Project restriction bypass for custom volume copy across projects
• CVE-2026-55622 (haute) – Project restriction bypass in instance copy across projects

Toutes ces vulnérabilités ont déjà été corrigées dans les précédentes versions mensuelles d’Incus, et leurs correctifs ont déjà été rétroportés par les diverses distributions fournissant Incus 7.0 LTS.

La liste complète des commits est présentée ci-dessous :

Support et mise à niveau¶

La branche Incus 7.0 est supportée jusqu’en juin 2031.
Il est toujours fortement recommandé d’utiliser la dernière version de correction de bugs.

Téléchargements¶

• Tarball d’Incus : incus-7.0.1.tar.xz
• Signature GPG : incus-7.0.1.tar.xz.asc

Incus 7.2 est maintenant disponible¶

26 juin 2026

L’équipe d’Incus est heureuse d’annoncer la sortie d’Incus 7.2 !

Cette nouvelle version comporte bon nombre de nouvelles fonctionnalités très diverses, accompagnées d’améliorations de performances et de résolutions de bugs.

Comme d’habitude, vous pouvez l’essayer vous-même en ligne : https://linuxcontainers.org/incus/try-it/

Correctifs de sécurité¶

Cette version corrige 8 vulnérabilités :

• CVE-2026-48749 (critique) – Arbitrary file read+write on host via rootfs/ symlink in malicious image
• CVE-2026-48750 (critique) – Arbitrary file write on host via exec-output symlink in crafted image
• CVE-2026-48751 (critique) – Restricted project bypass leading to arbitrary command execution
• CVE-2026-48752 (critique) – Arbitrary file read+write on host via templates/ symlink in malicious image
• CVE-2026-48755 (critique) – Argument injection in backup compression algorithm leading to arbitrary file write and command execution
• CVE-2026-48769 (critique) – Arbitrary file write on client due to trusted image hash
• CVE-2026-55621 (haute) – Project restriction bypass for custom volume copy across projects
• CVE-2026-55622 (haute) – Project restriction bypass in instance copy across projects

Nouvelles fonctionnalités¶

Intégration SELinux par instance¶

Incus supporte maintenant le confinement SELinux par instance, pour les conteneurs et les machines virtuelles, avec allocation automatique de catégories MCS (Multi-Category Security) pour isoler les instances les unes des autres sur un même hôte.

Quatre nouvelles clefs de configuration pour les instances ont été ajoutées :

• security.selinux.domain : force le domaine de processus SELinux
• security.selinux.type : force le type de fichier SELinux utilisé pour le stockage de l’instance
• security.selinux.level : force le niveau MCS SELinux
• security.selinux.label_rootfs : contrôle le comportement de la labellisation du rootfs (auto, always ou never)

Le contexte calculé est stocké dans la clef de configuration volatile.selinux.context, de sorte que la plage MCS allouée reste stable au redémarrage.

Documentation : https://linuxcontainers.org/incus/docs/main/reference/instance_options/#instance-options-security

Nouvelle commande incus default¶

Une nouvelle commande, incus default, a été ajoutée afin de contrôler les options par défaut de l’outil en ligne de commande.

stgraber@orilla:~$ incus default show
list_format: ""
console_type: ""
console_spice_command: ""
no_color: false
stgraber@orilla:~$ incus default set list_format=compact
stgraber@orilla:~$ incus storage list
  NAME    DRIVER  DESCRIPTION  USED BY   STATE  
 default  zfs                  11       CREATED 
stgraber@orilla:~$ incus default unset list_format
stgraber@orilla:~$ incus storage list
+---------+--------+-------------+---------+---------+
|  NAME   | DRIVER | DESCRIPTION | USED BY |  STATE  |
+---------+--------+-------------+---------+---------+
| default | zfs    |             | 11      | CREATED |
+---------+--------+-------------+---------+---------+
stgraber@orilla:~$

La documentation de ces options a également été mise à jour :

https://linuxcontainers.org/incus/docs/main/client-config/

Informations serveur filtrées par défaut¶

incus info retourne désormais une vue filtrée des informations du serveur.

Cela a pour effet de masquer par défaut (en les remplaçant par SENSITIVE) tous les certificats, clefs privées, et autres jetons, ne les affichant que si --show-sensitive est passé. Le retour de la commande est également plus court, dans la mesure où la liste complète des extensions d’API n’est plus affichée, la remplaçant par un simple compteur.

Définition du timeout du keepalive¶

La commande incus remote a désormais une sous-commande set-keepalive pour configurer (ou désactiver) le timeout du keepalive de la connexion.

stgraber@orilla:~$ incus remote set-keepalive my-remote 30
stgraber@orilla:~$ incus remote set-keepalive my-remote 0

La fonctionnalité est utilisée pour maintenir une connexion avec un serveur distant, rendant les interactions suivantes plus rapides. Elle est particulièrement utile sur les connexions à forte latence, ainsi que dans les environnements où beaucoup de commandes incus sont lancées.

Meilleure gestion de la configuration du client sur les différents OS¶

L’outil en ligne de commande stocke désormais sa configuration et son cache dans un répertoire mieux adapté vis-à-vis de l’OS client.

Jusqu’à présent, le client utilisait ~/.config/incus/ et ~/.cache/incus/, peu importe le système d’exploitation, répertoires peu communs pour macOS et Windows.

Depuis Incus 7.2, macOS utilise ~/Library/Application Support/incus/ et Windows utilise %APPDATA%\incus. Le client déplacera automatiquement sa configuration au premier lancement.

Mise à jour des certificats des serveurs non clusterisés¶

Une nouvelle commande incus admin update-certificate permet de remplacer le certificat d’un serveur non clusterisé.

La commande est équivalente à incus cluster update-certificate, mais pour les serveurs hors cluster. Cela permet d’éviter de remplacer à la main les fichiers dans /var/lib/incus.

Configuration réseau statique pour les conteneurs OCI¶

Le réseau des conteneurs d’application OCI peut désomais être configuré statiquement.

Les clefs de configuration pour les interfaces réseau ipv4.address et ipv6.address acceptent à présent des sous-réseaux CIDR pour configurer les adresses des conteneurs, et les nouvelles clefs ipv4.gateway et ipv6.gateway définissent la passerelle par défaut. Lorsque l’une de ces adresses est définie à none, cela désactive la configuration de la famille d’adresses correspondante et empêche le lancement du client DHCP.

En ce qui concerne le DNS, les nouvelles clefs de configuration d’instance oci.dns.nameservers, oci.dns.domain et oci.dns.search permettent de définir le contenu initial du fichier resolv.conf des conteneurs, lequel est ensuite complété par les informations reçues en DHCP.

Ces clefs de configuration sont uniquement valides pour les conteneurs OCI.

stgraber@orilla:~$ incus create docker:nginx my-nginx
Creating my-nginx
stgraber@orilla:~$ incus config set my-nginx oci.dns.nameservers=1.0.0.1,1.1.1.1 oci.dns.domain=stgraber.net
stgraber@orilla:~$ incus config device override my-nginx eth0 ipv4.address=10.10.10.2/24 ipv4.gateway=10.10.10.1
Device eth0 overridden for my-nginx
stgraber@orilla:~$ incus start my-nginx
stgraber@orilla:~$ incus list my-nginx
+----------+---------+-------------------+------------------------------------------------+-----------------+-----------+
|   NAME   |  STATE  |       IPV4        |                      IPV6                      |      TYPE       | SNAPSHOTS |
+----------+---------+-------------------+------------------------------------------------+-----------------+-----------+
| my-nginx | RUNNING | 10.10.10.2 (eth0) | fd42:8b9f:58e4:b6ac:1266:6aff:fecb:e324 (eth0) | CONTAINER (APP) | 0         |
+----------+---------+-------------------+------------------------------------------------+-----------------+-----------+

Annonce de routes en BGP par instance¶

Les réseaux bridge gérés par Incus ont deux nouvelles clefs de configuration, bgp.ipv4.instances et bgp.ipv6.instances.

Lorsque ces options sont activées, Incus annonce une route /32 (IPv4) ou /128 (IPv6) en BGP pour chaque instance connectée au réseau, supprimant la route lorsque l’instance s’arrête. Cela simplifie le routage des instances dans les environnements BGP.

Dans le cadre de cette nouvelle fonctionnalité, Incus peut à présent apprendre les adresses IP des instances, en surveillant les paquets ARP/NDP pendant une courte période suivant leur démarrage.

Documentation : https://linuxcontainers.org/incus/docs/main/reference/network_bridge/

Adresses dynamiques pour les proxys en mode NAT¶

Incus étant à présent capable de détecter les adresses IP des instances, les périphériques proxy en mode NAT peuvent désormais utiliser des adresses dynamiques, supprimant la nécessité d’indiquer manuellement les adresses des instances dans la configuration du proxy.

stgraber@orilla:~$ incus launch docker:nginx my-nginx
Launching my-nginx
stgraber@orilla:~$ incus config device add my-nginx http-80 proxy listen=tcp:0.0.0.0:1234 connect=tcp:0.0.0.0:80 nat=true
Device http-80 added to my-nginx
stgraber@orilla:~$ incus list my-nginx
+----------+---------+--------------------+------------------------------------------------+-----------------+-----------+
|   NAME   |  STATE  |        IPV4        |                      IPV6                      |      TYPE       | SNAPSHOTS |
+----------+---------+--------------------+------------------------------------------------+-----------------+-----------+
| my-nginx | RUNNING | 10.80.1.162 (eth0) | fd42:8b9f:58e4:b6ac:1266:6aff:fe55:dbdb (eth0) | CONTAINER (APP) | 0         |
+----------+---------+--------------------+------------------------------------------------+-----------------+-----------+
stgraber@orilla:~$ ip -4 a show dev enp0s5
2: enp0s5: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
    altname enx001c42e6a809
    inet 10.211.55.3/24 brd 10.211.55.255 scope global dynamic noprefixroute enp0s5
       valid_lft 1031sec preferred_lft 1031sec
stgraber@orilla:~$ nc -v 10.211.55.3 1234
Connection to 10.211.55.3 1234 port [tcp/*] succeeded!

Accès NBD étendu¶

Un nouvel endpoint, GET /1.0/instances/{instance}/nbd, expose en NBD tous les disques attachés à une machine virtuelle, permettant un accès concurrent à tous les disques plutôt que volume par volume.

Cela a mené à la création d’une nouvelle commande incus debug nbd, supportant des connexions concurrentes.

stgraber@orilla:~$ incus start v1
stgraber@orilla:~$ incus debug nbd v1
NBD listening on 127.0.0.1:36539

Ces API sont principalement à destination des systèmes de sauvegarde ayant besoin d’accéder aux disques des VM. L’export NBD expose également les dirty bitmaps, simplifiant l’implémentation de sauvegardes incrémentales.

La restauration peut être effectuée via les API NBD de chaque volume lorsque l’instance est arrêtée.

Compression btrfs pour les volumes de stockage¶

Une nouvelle clef de configuration de volume de stockage, btrfs.compression, a été ajoutée pour le driver btrfs. Il correspond à la propriété compression de btrfs, et accepte les mêmes valeurs (par exemple, zstd, lzo, zlib ou none).

Cela permet de forcer les paramètres de compression pour un système de fichiers btrfs, permettant aux volumes Incus d’utiliser un différent algorithme de compression, ou aucun, ce qui permet alors à Incus de définir le drapeau nocow pour les disques des machines virtuelles.

Documentation : https://linuxcontainers.org/incus/docs/main/reference/storage_btrfs/

Configuration des GUID des VF InfiniBand en SR-IOV¶

Les périphériques infiniband utilisant le nictype sriov supportent désormais deux nouvelles clefs de configuration, node_guid et port_guid.

Lorsque l’une des clefs est définie, son GUID correspondant est défini à cette valeur pour la fonction virtuelle allouée au démarrage de l’instance, puis est restauré à sa valeur initiale à l’arrêt de celle-ci.

Documentation : https://linuxcontainers.org/incus/docs/main/reference/devices_infiniband/

Restriction de l’origine des websockets¶

Une nouvelle clef de configuration de serveur, core.https_allowed_websocket_origin, a été ajoutée.

Elle accepte une liste d’origines séparées par des virgules, ou *, et contrôle quelles origines sont acceptées pour les connexions en websocket.

Cela est utile pour les accès cross-origin et dans certains environnements proxifiés.

Documentation : https://linuxcontainers.org/incus/docs/main/server_config/#server-options-core

Journalisation des routines de nettoyage¶

Un changement apporté à l’ensemble du code d’Incus dans cette nouvelle version journalise les erreurs retournées par les fonctions de nettoyage appelées de manière asynchrone.

En conséquence, un certain nombre d’entrées WARNING pourront être constatées (par exemple à la fermeture de fichiers, sockets, ou réponses HTTP). Cet effet est attendu et n’indique pas de régression ; les erreurs existaient déjà auparavant, mais étaient tout simplement ignorées.

Si vous remarquez des messages inutiles ou répétitifs, merci de nous le faire savoir, afin que nous puissions investiguer, et si nécessaire les passer sous silence.

Liste complète des changements¶

Voici une liste complète de tous les changements apportés par cette version :

Documentation¶

La documentation d’Incus peut être consultée sur :

https://linuxcontainers.org/incus/docs/main/

Paquets¶

Incus ne fournit pas de paquet d’installation mais bien un tarball à chaque version. Vous trouverez ci-dessous différentes solutions pour mettre Incus en service.

Installation du serveur Incus sous Linux¶

Incus est disponible sur la plupart des distributions Linux courantes. Vous trouverez des instructions d’installation détaillées dans notre documentation.

https://linuxcontainers.org/incus/docs/main/installing/

Paquet Homebrew du client Incus¶

Le client Incus est disponible sur Homebrew pour Linux et macOS.

https://formulae.brew.sh/formula/incus

Paquet Chocolatey du client Incus¶

Le client Incus est disponible sur Chocolatey pour les utilisateurs de Windows.

https://community.chocolatey.org/packages/incus/7.2.0

Paquet Winget du client Incus¶

Le client Incus est aussi disponible sur Winget pour les utilisateurs de Windows.

https://winstall.app/apps/LinuxContainers.Incus

Support¶

Les versions de fonctionnalité d’Incus ne sont supportées que jusqu’à la sortie de la suivante. Les personnes souhaitant un support plus long et des changements moins fréquents devraient plutôt envisager d’utiliser Incus 7.0 LTS.

Le support communautaire est disponible sur : https://discuss.linuxcontainers.org
Un support commercial est disponible sur : https://zabbly.com/incus
Les bugs peuvent être signalés sur : https://github.com/lxc/incus/issues

Anciennes nouvelles¶

• 30 mai 2026
• 5 mai 2026
• 27 mars 2026
• 27 févr. 2026
• 23 janv. 2026
• 19 déc. 2025
• 29 nov. 2025
• 31 oct. 2025
• 26 sept. 2025
• 29 août 2025
• 15 août 2025
• 1 août 2025
• 28 juin 2025
• 30 mai 2025
• 25 avr. 2025
• 4 avr. 2025
• 28 mars 2025
• 28 févr. 2025
• 24 janv. 2025
• 19 déc. 2024
• 13 déc. 2024
• 15 nov. 2024
• 3 oct. 2024
• 17 sept. 2024
• 6 sept. 2024
• 9 août 2024
• 12 juil. 2024
• 28 juin 2024
• 31 mai 2024
• 7 mai 2024
• 4 avr. 2024
• 26 mars 2024
• 23 févr. 2024
• 29 janv. 2024
• 26 janv. 2024
• 21 déc. 2023
• 27 nov. 2023
• 28 oct. 2023
• 7 oct. 2023