Un plugin pour créer les volumes TrueNAS depuis Proxmox, un cluster Pangolin à monter soi-même et RustFS qui sort sa 1.0 : il y a de quoi tester cette semaine. Portainer annonce aussi qu’il n’y aura pas de nouvelle branche Community Edition. Une nouvelle moins plaisante pour ceux qui lui confient leurs conteneurs depuis des années.
Côté maintenance, HestiaCP passe en priorité sur les serveurs partagés : la version 1.10.5 corrige une faille qui permet à un simple utilisateur du panneau d’obtenir les droits root.
En bref#
- TrueNAS + Proxmox : création des volumes et snapshots ZFS depuis l’hyperviseur. Le plugin officiel est là, encore en bêta.
- Pangolin 1.23 : le cluster se déploie sans prestation de l’éditeur. Il faut l’Enterprise Edition, avec une licence gratuite possible pour le homelab.
- Portainer : CE reste sur la branche 2.45 LTS. Pour la future branche 3, il faudra une licence, éventuellement via « 3 Nodes Free ».
- RustFS 1.0 : le stockage objet compatible S3 passe en disponibilité générale, sous licence Apache 2.0.
- HestiaCP : la 1.10.4 est affectée par une élévation vers root, corrigée dans la 1.10.5. Un PoC est public.
TrueNAS et Proxmox : moins de volumes à créer à la main#
Créer un disque dans Proxmox et laisser le NAS préparer le stockage derrière : voilà l’intérêt du plugin. Il s’installe sur chaque nœud Proxmox et appelle l’API de TrueNAS pour créer le zvol ZFS puis l’exposer en iSCSI ou en NVMe/TCP. Quelques allers-retours en moins entre les deux interfaces, et c’est déjà appréciable.
Les snapshots ZFS deviennent eux aussi accessibles depuis Proxmox, y compris ceux qui conservent l’état mémoire. Les clones, transferts, sauvegardes et imports restent exécutés côté hôte : il ne faut pas compter sur des clones ZFS instantanés pour toutes ces opérations. Présentation du plugin
Pour les versions, voici ce qu’il faut avoir :
| Transport | TrueNAS | Proxmox VE | À prévoir |
|---|---|---|---|
| iSCSI | 25.10 minimum | 8.x minimum | Plugin sur chaque nœud qui utilisera le stockage |
| NVMe/TCP | 25.10 minimum | 9.x minimum | Plugin et nvme-cli sur chaque nœud |
Le plugin gère du stockage bloc pour les VM. Les ISO et les fichiers de sauvegarde restent sur un stockage adapté, par exemple un partage NFS. La configuration est détaillée dans le README de la release.
La version disponible au 18 septembre est la v2.1.23-beta3. La validation Enterprise continue et la documentation déconseille encore la production. C’est donc un bon candidat pour le lab, avec une VM que l’on peut se permettre de perdre. Avant d’y déplacer davantage de données, je testerais surtout une migration entre nœuds et une restauration depuis une sauvegarde indépendante du NAS. Release, annonce communautaire, documentation
Pangolin 1.23 : monter son cluster sans passer par l’éditeur#
Le cluster Pangolin existait déjà, mais son déploiement passait par une prestation de l’éditeur. Avec la 1.23.0, on peut le monter soi-même. Pangolin intègre désormais le DNS et la gestion des certificats nécessaires à cette architecture. Les connecteurs Newt existants continuent de fonctionner : aucun remplacement obligatoire par le CLI Pangolin. Annonce de la 1.23, release
Pour le homelab, la question de la licence mérite un détour. Le cluster demande l’Enterprise Edition, disponible commercialement dès Scale. Une clé gratuite existe pour l’usage personnel et les organisations dont le chiffre d’affaires brut annuel reste sous 100 000 USD. Il faut la demander et utiliser l’image correspondante ; l’image Community ne suffit pas. Conditions Enterprise Edition
Voici tout de même ce qu’il faudra faire tourner :
- au moins deux nœuds exécutant chacun Pangolin, Gerbil et Traefik ;
- un PostgreSQL partagé ;
- Valkey ou Redis avec pub/sub ;
- un répartiteur de charge hautement disponible à fournir soi-même ;
- une délégation DNS, une IP publique fixe par nœud et un réseau interne entre eux.
Pour trois services à la maison, ça commence à faire du monde. Pour un accès distant dont plusieurs personnes dépendent, le choix se défend beaucoup mieux. Attention aux sites existants : seuls les Pangolin Sites avec Newt sont compatibles avec le cluster, pas les sites locaux ni les connexions WireGuard basiques. Prérequis
Lorsqu’un nœud tombe, le connecteur en rejoint un autre, avec une courte interruption possible. Le test intéressant consiste à couper un nœud et à suivre la reconnexion de Newt puis l’accès à une ressource. Il faut aussi prévoir la reprise de PostgreSQL et du répartiteur : s’ils tombent seuls, les deux nœuds Pangolin ne régleront pas le problème. Bascule et architecture
Dernier réglage à ne pas rater : un seul nœud doit émettre et renouveler les certificats ACME. Ils sont stockés chiffrés dans PostgreSQL, puis distribués aux instances Traefik. La procédure de déploiement détaille aussi les contrôles DNS et TLS.
Portainer : CE reste en 2.x, la suite passe sous licence#
La 2.45 LTS sera la dernière version de la branche 2.x, et aucune CE 3.x n’est prévue. Pour accéder gratuitement à la future branche 3, il faudra passer par « 3 Nodes Free » et sa licence pour trois nœuds.
Docker, Swarm et Podman natifs resteront administrables en 3.x, comme Portainer l’a précisé dans son annonce. Le développement des nouvelles capacités se concentrera surtout sur Kubernetes.
CE et BE 2.45 LTS continueront à recevoir des correctifs de sécurité, de bugs et des rétroportages compatibles pendant leur support. Le billet ne donne pas de date de fin de support, et la 3.0 reste annoncée comme à venir.
Pour un petit homelab sous CE, on peut donc continuer à suivre la branche maintenue. Le choix d’une licence ou d’un autre outil viendra avec les besoins et le calendrier de support. Annonce et clarification
RustFS sort sa 1.0#
RustFS atteint la 1.0.0, annoncée en disponibilité générale le 16 septembre. Au programme : du stockage objet distribué, écrit en Rust, une API compatible S3 et une licence Apache 2.0. L’équipe considère le moteur prêt pour la production. Annonce, release 1.0.0
Voilà un projet à essayer si vous cherchez une cible S3 pour vos applications ou vos sauvegardes. Je commencerais par une application de test, avec ses vrais usages : uploads multipart, URL présignées, politiques d’accès, rétention si elle en dépend. Puis une restauration complète. C’est plus instructif qu’un simple fichier envoyé puis téléchargé avec succès.
Si vous reprenez l’exemple Compose du projet, remplacez les identifiants par défaut et épinglez une version d’image. Gardez le stockage d’origine le temps de ces essais : on peut découvrir un nouveau backend sans lui confier immédiatement l’unique copie de ses données.
HestiaCP : un compte utilisateur peut devenir root#
C’est la mise à jour à traiter rapidement sur un hébergement partagé. L’avis GHSA-r9q4-pmcm-5qqf, publié le 15 septembre, désigne HestiaCP 1.10.4 comme affecté et 1.10.5 comme corrigé. Un compte standard avec un domaine web suffit, sans droit administrateur ni intervention d’un autre utilisateur.
Le défaut part d’une valeur mal échappée dans la configuration du domaine. Elle permet d’y introduire une variable réservée qui sera relue par un processus privilégié. En modifiant ainsi le chemin de recherche des exécutables, l’utilisateur peut faire exécuter son code en root. Le correctif traite notamment les variables réservées et l’échappement des valeurs.
Un PoC et une reproduction sur une installation réelle sont publics. L’avis ne signale pas d’exploitation dans la nature et ne porte pas encore de CVE. Il ne désigne que la 1.10.4 comme affectée ; cela ne permet pas de déclarer les versions plus anciennes saines. Avis HestiaCP
La version installée et celle proposée par le dépôt se vérifient avec :
dpkg-query -W -f='${Version}\n' hestia
apt-cache policy hestiaPrévoyez la mise à jour vers la version corrigée après sauvegarde, en priorité si plusieurs utilisateurs ont accès au panneau. Le VPN ne protège pas contre un compte qui a déjà le droit d’entrer. En cas de modifications suspectes, conservez les journaux et examinez les comptes et configurations : mettre le paquet à jour ne suffit pas à remettre en état un serveur déjà compromis.
La 1.10.5 corrige aussi les contrôles de session, les comptes suspendus et le mode lecture seule. Elle retire le support de Debian 11 : un hôte encore sous Bullseye demande aussi une migration du système. Notes de version
Nextcloud 35 : Teams arrive, PHP 8.2 s’en va#
Hub 26 Summer, c’est Nextcloud Server 35.0.0, publié le 16 septembre. Teams apporte des espaces d’équipe, avec une propriété collective des ressources qui commence par Collectives et Deck. Les partages peuvent aussi demander un code à usage unique envoyé par courriel. Release serveur, annonce Hub 26 Summer
Avant la mise à jour, regardez les versions sous l’application :
- PHP 8.2 n’est plus pris en charge ;
- MariaDB 10.6 est retiré des versions prises en charge, avec un minimum à 10.11 LTS ;
- MySQL 8.0 est retiré, avec un minimum à 8.4 LTS.
Si votre instance tourne encore sur ces versions, le chantier commence par PHP ou la base de données. Vérifiez aussi les applications dont vous dépendez et conservez une sauvegarde de la base, de la configuration et des données. Nextcloud impose toujours de passer par chaque version majeure, une à la fois. Prérequis de la 35, procédure de migration
Quant à Nextcloud Office pour desktop, il faudra patienter un peu. Les téléchargements Windows, Linux et macOS sont annoncés pour les semaines suivantes, pas disponibles avec ce lancement. Annonce Office desktop
Autres mises à jour à retenir#
Vaultwarden 1.37.3 corrige un comportement qu’on préfère éviter sur un coffre-fort : les jetons « se souvenir de moi » de la 2FA sont désormais révoqués, notamment après un changement de mot de passe ou la désactivation d’un second facteur. La version ajoute une limitation de débit sur les routes de préconnexion et de demande d’authentification. Elle corrige aussi le changement de mot de passe avec les clients web récents et une migration MariaDB 12.2.2. Release, correctif 2FA
Debian 13.7 est sortie le 12 septembre. Les machines Trixie déjà suivies n’ont pas besoin d’une réinstallation : cette révision regroupe des correctifs de sécurité et de stabilité, dont une partie a déjà été distribuée. Les mises à jour habituelles font le travail. Annonce Debian
Uptime Kuma 2.5.5 corrige une fuite mémoire du moniteur TCP. Une petite maintenance utile si ces sondes tournent chez vous ; la consommation mémoire dans les jours qui suivent permettra de voir l’effet du correctif. Release
Du côté des caméras et de la musique#
Frigate 0.18.0 permet de configurer l’application depuis son interface, sans retirer le YAML pour ceux qui le préfèrent. Les profils de caméras s’activent sans redémarrage et le rejeu des enregistrements aide à régler la détection.
La mise à jour demande de sauvegarder la configuration et de copier frigate.db après arrêt du service. Les snapshots sur disque deviennent des WebP sans annotation : pour retrouver les JPEG annotés dans une intégration, il faut passer par l’API. Vérifiez aussi les configurations go2rtc avec transcodage matériel lors du passage à FFmpeg 8. Notes Frigate 0.18.0
Navidrome 0.64.0 s’ouvre aux clients musicaux Jellyfin. L’API reste expérimentale et désactivée par défaut, mais elle permet notamment d’essayer Finamp ou Jellify avec sa bibliothèque Navidrome.
La version migre les identifiants internes dans toute la base. Sauvegardez-la avant de démarrer la nouvelle version et prévoyez une possible resynchronisation des clients, téléchargements hors ligne compris. Les notes mentionnent aussi des correctifs de sécurité dont tous les avis ne sont pas encore publics. Notes Navidrome 0.64.0
Deux commandes pour voir ce qui tourne#
Vous avez changé le tag dans Compose, mais le conteneur a-t-il suivi ? Depuis le répertoire de la stack :
docker compose config --images
docker compose imagesLa première commande montre les images attendues dans la configuration résolue ; la seconde, celles utilisées par les conteneurs créés. Elles ne modifient rien. C’est un moyen rapide de repérer une recréation oubliée après un changement de tag.
Avec latest, le nom ne suffit pas : il faut aussi regarder l’identifiant de l’image et la version affichée par l’application. Référence compose config, référence compose images
Conclusion#
Le plugin TrueNAS est le premier que j’essaierais dans le lab avec une VM jetable cette semaine : supprimer la création manuelle des volumes répond à un besoin très concret. Le cluster Pangolin mérite aussi un essai si la disponibilité de l’accès distant compte assez pour entretenir ses dépendances.
Sur les machines qui hébergent déjà des utilisateurs, HestiaCP passe avant ces essais. Et pour Portainer, on a encore le temps de décider : CE conserve sa maintenance en 2.45 LTS.
Sources#
- TrueNAS - présentation du plugin Proxmox
- TrueNAS - annonce communautaire et validation Enterprise
- TrueNAS - plugin v2.1.23-beta3
- TrueNAS - prérequis et configuration de la release
- TrueNAS - documentation et avertissement de production
- Pangolin - annonce de la 1.23
- Pangolin - release 1.23.0
- Pangolin - Enterprise Edition
- Pangolin - prérequis du cluster
- Pangolin - architecture et bascule
- Pangolin - déploiement du cluster
- Portainer - annonce de la branche 3 et clarification
- RustFS - annonce de la 1.0 GA
- RustFS - release 1.0.0
- HestiaCP - avis GHSA-r9q4-pmcm-5qqf
- HestiaCP - release 1.10.5
- HestiaCP - correctif du parsing de configuration
- Nextcloud - annonce Hub 26 Summer
- Nextcloud - Server 35.0.0
- Nextcloud - prérequis de migration vers 35
- Nextcloud - procédure de mise à niveau
- Vaultwarden - release 1.37.3
- Vaultwarden - révocation des jetons 2FA mémorisés
- Debian - publication de la révision 13.7
- Uptime Kuma - release 2.5.5
- Frigate - release 0.18.0
- Navidrome - release 0.64.0
- Docker - commande Compose config
- Docker - commande Compose images