Les réécritures sécurisées en mémoire dévorent discrètement les bases de code C et C++, une CVE à la fois

Google et Microsoft ont tous deux signalé qu'environ 70 pour cent des vulnérabilités de sécurité dans leurs bases de code C et C++ proviennent d'erreurs de sécurité mémoire — dépassements de tampon, use-after-free et bugs similaires qu'un langage sûr en mémoire ne peut tout simplement pas exprimer. Ce qui a changé en 2026, c'est que l'industrie a cessé de débattre et a commencé à livrer la solution, un sous-système à la fois.

Le noyau Linux a cessé de traiter Rust comme une expérience

Lors du sommet des mainteneurs du noyau Linux 2025, les mainteneurs ont formellement déclaré réussi l'effort pluriannuel «Rust for Linux». Greg Kroah-Hartman, mainteneur du noyau stable, a été direct sur la motivation, affirmant que Rust «va sauver Linux» compte tenu du volume de CVE que le noyau génère chaque année à partir du code C. La première CVE attribuée au code Rust dans le noyau, CVE-2025-68260, est apparue en 2026 — un rappel que les garanties de Rust ne tiennent qu'à l'intérieur du code sûr.

Coreutils est la victoire la plus concrète de Rust jusqu'à présent

Le projet uutils coreutils, une réimplémentation complète en Rust des GNU coreutils, a passé 92,2 pour cent de la suite de tests officielle GNU début 2026 et est monté à 94,74 pour cent en avril. Ubuntu a fait de rust-coreutils le défaut dans sa version 25.10, et la version 0.8.0 — qui intègre des correctifs pour 113 problèmes détectés par un audit Zellic — sera par défaut dans Ubuntu 26.04 LTS. Les outils cp, mv et rm restent des implémentations GNU en raison de problèmes TOCTOU non résolus ; une transition complète est visée pour Ubuntu 26.10.

Tous les mainteneurs ne sont pas convaincus

curl est le contre-exemple à prendre au sérieux. Daniel Stenberg a explicitement exclu une réécriture complète en Rust des quelque 180 000 lignes de code C du projet. Une expérience antérieure avec un backend Hyper basé sur Rust a été abandonnée en avril 2025. Pourtant, curl a fait face à une vague de rapports de vulnérabilités au printemps 2026 suffisamment grave pour suspendre temporairement l'acceptation de nouveaux rapports en juillet 2026.

Où les données soutiennent le pari

Le cas quantitatif le plus solide vient d'Android, où Google a signalé une réduction d'environ 1 000 fois de la densité des vulnérabilités de sécurité mémoire dans les parties Rust du code Android par rapport à son code C et C++.

Ce qu'il faut surveiller ensuite

Si vous maintenez une infrastructure qui traite des entrées non fiables, le déploiement échelonné de coreutils est un modèle utile : identifiez d'abord le composant le plus attaqué et le plus précieux, réécrivez-le avec une interface compatible, et maintenez la même couverture de tests avant de basculer le défaut.