VLC 3.0.24 : plus de 130 correctifs de sécurité, une mise à jour à ne pas laisser traîner

VLC fait partie de ces logiciels que l’on installe, qui rendent service pendant des années, puis dont on oublie presque l’existence entre deux vidéos. Tant qu’un fichier s’ouvre, on a peu de raisons de regarder son numéro de version. Avec VLC 3.0.24, publié en septembre 2026, cette habitude mérite une petite interruption.

La mise à jour corrige plus de 130 problèmes de sécurité dans le lecteur et les bibliothèques qui l’accompagnent. Je vous conseille de l’installer rapidement par votre canal habituel. Pas pour obtenir une interface spectaculaire ou une nouvelle fonction indispensable : pour remettre à niveau un logiciel auquel vous confiez régulièrement des fichiers et des flux.

Le nombre de correctifs est impressionnant, mais il faut le lire correctement. Il ne signifie ni que tous les utilisateurs ont été attaqués, ni que chaque problème permet facilement de prendre le contrôle d’un ordinateur. Il signifie en revanche que rester sur une ancienne installation sans même vérifier les mises à jour n’est pas une bonne idée.

Un fichier multimédia peut aussi solliciter du code vulnérable

La vidéo apparaît à l’écran comme une suite d’images. Pour le lecteur, elle représente pourtant des données à interpréter : organisation du fichier, pistes, informations annexes et contenu compressé. Cette différence explique pourquoi un logiciel de lecture a besoin de correctifs de sécurité, même si vous ne l’utilisez pas comme un navigateur.

Le bulletin de cette version concerne VLC 3.0.23 et les versions antérieures. Il mentionne notamment des erreurs de gestion de la mémoire, des plantages et des divulgations de mémoire. Une exécution de code a également été démontrée sur macOS dans des conditions particulières. Certains défauts peuvent être déclenchés à l’ouverture, pendant l’analyse des métadonnées ou le traitement d’une liste de lecture ; d’autres nécessitent l’utilisation d’une fonction réseau concernée.

Je ne présenterais donc pas ces correctifs comme une simple chasse aux petits bugs. Mais un scénario d’exploitation dépend du défaut, de la plateforme et des données traitées. Le bon réflexe est de corriger l’application, sans transformer le chiffre annoncé en preuve que votre machine a déjà été compromise.

Si la mise à jour doit attendre, évitez les fichiers et les flux de provenance non fiable. Cette précaution est temporaire : elle ne remplace pas le correctif et ne permet pas de déterminer, à l’œil, qu’un fichier est inoffensif.

Le chiffre de 130 raconte aussi le poids des dépendances

Un logiciel ne contient pas uniquement le code écrit par son équipe principale. Il s’appuie aussi sur des bibliothèques, des composants réutilisables qui accomplissent certaines tâches. C’est utile pour les développeurs, mais cela impose de suivre leur maintenance.

Cette version met à jour 49 bibliothèques tierces et fait notamment passer FFmpeg de la branche 4.4 à la version 8.1.2. Le chantier dépasse donc la correction de quelques lignes dans l’interface du lecteur. Des composants qui participent au traitement multimédia sont renouvelés sous une application que l’utilisateur reconnaît toujours.

Voilà pourquoi le numéro 3.0.24 peut sembler modeste alors que le travail est important. Le numéro d’une version n’est pas une unité de mesure de sa valeur. Une application peut changer de look tout en conservant des fondations vieillissantes ; elle peut aussi garder le même visage et améliorer profondément sa maintenance.

J’accorde davantage de poids à ce second travail qu’à un relooking. Pour un lecteur multimédia, la qualité se joue aussi dans ce qui ne se voit pas : continuer à ouvrir les fichiers attendus, traiter correctement les cas inhabituels et rester entretenu après son installation. Cela ne produit pas forcément une jolie capture d’écran, mais c’est ce qui justifie de garder confiance dans le logiciel.

Des améliorations utiles, sans attendre VLC 4.0

La sécurité domine cette sortie, mais la mise à jour apporte également des évolutions ciblées. Elles intéresseront surtout ceux qui rencontrent les formats ou les usages concernés.

Le lecteur abandonne aussi le plugin de navigateur NPAPI et le script YouTube Lua devenu défectueux. Le module RealRTSP est désactivé dans les versions empaquetées. Ces retraits rappellent qu’une maintenance sérieuse peut aussi consister à enlever des fonctions devenues problématiques.

Je préfère une fonction supprimée de façon assumée à une promesse qui ne marche plus et que l’on continue de traîner pendant des années. Si vous dépendiez d’un élément retiré, vérifiez néanmoins votre usage avant de compter sur le même fonctionnement après mise à jour. La compatibilité reste importante ; elle ne doit pas empêcher d’entretenir le logiciel.

Une nouvelle clé pour vérifier les mises à jour

VLC 3.0.24 remplace la clé DSA-1024 employée depuis 2013 pour vérifier ses mises à jour par une clé RSA-4096. Les vérifications utilisent également HTTPS sur Windows 7 et les versions suivantes. La transition prévoit une nouvelle clé publique signée par l’ancienne, déjà connue des installations existantes.

La fonction d’une telle clé est d’aider l’application à vérifier l’authenticité des éléments de mise à jour. Ce sujet mérite d’être distingué du décodage vidéo : corriger le lecteur et entretenir le mécanisme qui lui fournit ses correctifs sont deux travaux complémentaires.

Le changement est aussi un rappel pratique : la fenêtre qui propose une mise à jour doit appartenir au logiciel ou à votre gestionnaire de paquets. Un bouton apparu sur une page quelconque, simplement parce qu’il affiche le cône orange, n’est pas une raison suffisante pour installer un fichier.

Si vous préférez télécharger l’installateur, saisissez directement l’adresse du site de VideoLAN dans votre navigateur. Il est inutile de chercher un pack de codecs ou un outil de réparation pour obtenir cette version du lecteur.

Mettre à jour la bonne copie sur Windows et macOS

La page de téléchargement officielle propose VLC 3.0.24 pour Windows et macOS. Sur Mac, des téléchargements sont disponibles pour Intel, Apple Silicon et sous forme universelle. Choisissez celui qui correspond à votre machine, plutôt qu’un installateur récupéré sur un site de téléchargement intermédiaire.

Je commencerais par ouvrir VLC et consulter sa fenêtre « À propos ». Notez la version, puis utilisez le mécanisme de mise à jour proposé par votre installation lorsqu’il est disponible. Sinon, récupérez le programme sur le site officiel et fermez le lecteur avant de procéder à l’installation.

Le contrôle après installation est plus utile que le simple fait d’avoir téléchargé un fichier. Relancez l’application que vous utilisez réellement, consultez à nouveau sa version et ouvrez un média habituel dont vous connaissez la provenance. Ce dernier essai confirme le fonctionnement courant ; il ne constitue pas un test des failles corrigées.

Le cas facile à oublier : une version portable conservée dans un dossier, une deuxième copie du logiciel ou un raccourci vers une ancienne installation. Mettre à jour une copie ne prouve pas que le double-clic sur vos vidéos lance cette copie. Si le numéro affiché reste ancien, vérifiez d’abord quel programme s’est ouvert.

Cette petite vérification évite de modifier inutilement des réglages ou de multiplier les réinstallations. Sur une machine gérée par une entreprise, passez par le canal prévu par l’administrateur : l’objectif est de faire déployer le correctif dans l’installation suivie.

Sous Linux, le canal d’installation fait toute la différence

Une annonce de sortie et une mise à jour disponible dans votre distribution sont deux choses différentes. VLC peut provenir des dépôts de votre système, d’un Snap ou d’un Flatpak. Il faut donc identifier le canal déjà utilisé avant de chercher à le remplacer.

Pour un paquet géré par APT sur Ubuntu ou Debian, commencez par le gestionnaire de mises à jour habituel. En terminal, les commandes suivantes actualisent la liste des paquets puis proposent les mises à jour disponibles pour le système ; elles ne se limitent pas à VLC :

sudo apt update
sudo apt upgrade

Lisez la proposition avant de la valider. Ces commandes n’obligent pas vos dépôts à fournir VLC 3.0.24. Pour savoir si une version empaquetée comporte des corrections équivalentes, consultez les informations de sécurité du distributeur ; un numéro de version seul ne remplace pas cette vérification.

Si vous avez installé le Snap VLC, vous pouvez demander sa mise à jour puis afficher les informations sur la copie installée :

sudo snap refresh vlc
snap list vlc

Les Snaps se mettent normalement à jour automatiquement, mais une vérification manuelle reste utile. Au moment de la vérification, le 3 octobre 2026, la fiche du Snap publié par VideoLAN affichait encore « 3.0.24-rc1 » dans son canal stable. Cette étiquette ne permet pas, à elle seule, d’attester le contenu exact des correctifs intégrés. Il faut vérifier la révision proposée et les informations de son mainteneur, plutôt que promettre que toute installation Snap fournit déjà la version finale.

Pour une installation Flatpak, affichez les applications installées et demandez les mises à jour :

flatpak list --app
flatpak update

La seconde commande concerne les applications et les environnements Flatpak installés, pas uniquement VLC. Le gestionnaire graphique peut également effectuer cette opération. Je garderais le canal existant lorsqu’il offre une version corrigée, afin d’éviter plusieurs installations dont on finit par perdre le suivi.

Un gros nettoyage n’est pas une raison de basculer sur une version expérimentale

L’envie de profiter du travail sur VLC 4.0 est compréhensible. Elle ne répond toutefois pas au même besoin qu’une mise à jour de sécurité de la branche stable. VideoLAN décrit ses versions nocturnes comme expérimentales et instables, avec des problèmes possibles.

Je ne conseillerais pas de passer sur un canal de développement uniquement pour afficher un numéro plus élevé. Pour le lecteur que vous utilisez tous les jours, recherchez une version stable corrigée et un mécanisme de mise à jour que vous pouvez suivre. Un essai de VLC 4.0 doit rester un choix volontaire, avec ses conséquences possibles sur le fonctionnement.

Si un correctif semble introuvable dans votre canal actuel, l’étape suivante consiste à vérifier ce que propose son mainteneur. Ajouter plusieurs dépôts trouvés au hasard ou empiler les installations complique souvent la question de départ : quelle copie utilise-t-on, et qui la met à jour ?

Le logiciel libre a besoin de maintenance, pas seulement de nouveautés

Une partie de ce travail a bénéficié du soutien du Sovereign Tech Fund. C’est un point que je trouve intéressant : entretenir un logiciel très utilisé constitue un investissement utile, même quand il n’ajoute pas une fonction facile à promouvoir.

Le travail continue après la découverte d’un bug. Il faut comprendre le problème, corriger le code et vérifier que la modification ne casse pas les usages attendus. Ce temps est moins visible que l’annonce d’une nouvelle interface, mais il reste nécessaire. Le fait qu’un logiciel soit gratuit pour son utilisateur ne rend pas son entretien gratuit.

Ma critique vise donc surtout notre manière de juger les mises à jour. On se demande facilement si elles ajoutent quelque chose, beaucoup moins si elles réparent ce dont on dépend déjà. VLC 3.0.24 est une bonne occasion d’inverser cet ordre : remettre le lecteur à niveau d’abord, regarder les nouveautés ensuite.

Mon conseil : vérifiez la version réellement lancée sur votre machine, appliquez la mise à jour du canal que vous utilisez et contrôlez le résultat. Vous pourrez ensuite reprendre vos vidéos sans attendre une révolution de l’interface. Un logiciel entretenu qui continue à faire son travail, c’est déjà une amélioration qui compte.