Nix et Lix ont publié un avis de sécurité commun. Trois failles, combinables entre elles, permettent une élévation de privilèges jusqu'à root. Ce qui est peut-être extrêmement dangereux. 

La 1ere faille est un dépassement d'entier non signé dans l'allocation des listes, qui provoque un overflow. La seconde faille touche les installations multi-utilisateurs avec daemon : une opération de réparation lancée sans privilège pouvait détruire et remplacer un chemin légitime avant la vérification de son contenu. La dernière faille est un échappement de la sandbox Seatbelt de macOS par un profil malformé, sur les systèmes configurés avec sandbox = true ou sandbox = relaxed. Nix seul a deux failles supplémentaires : l'installeur multi-utilisateur laisse le store avec de mauvais propriétaires, et le daemon ne rejette pas les connexions des utilisateurs de build sur macOS et FreeBSD quand les builds ne sont pas isolés dans un bac à sable.

Versions corrigées : Nix 2.35.3, 2.34.9, 2.31.6, 2.30.6 et 2.28.8 ; Lix 2.94.3, 2.95.4 et 2.96.0. Les installations NixOS ne sont pas concernées par les problèmes d'installation. Les installations multi-utilisateurs faites avec l'installeur doivent vérifier les propriétaires: la mise à jour ne corrige pas les fichiers déjà mal attribués. L'avis GHSA-hf6w-2rg9-v84g fournit un script pour vérifier et corriger les propriétaires des fichiers concernés.

Mise à jour de Nix, en remplaçant la version :

nix upgrade-nix --upgrade-nix-store-path-url https://releases.nixos.org/nix/nix-<version>/fallback-paths.nix

Mise à jour de Lix vers la 2.95.4 :

curl -sSf -L "https://git.lix.systems/lix-project/lix/raw/tag/2.95.4/misc/upgrade-lix.sh" \

  | sudo --preserve-env=PATH bash -s -- 2.95.4

Avis de sécurité : https://discourse.nixos.org/t/security-advisory-for-nix-and-lix-october-2026/80547