2026 года проект OpenMandriva опубликовал заявление о попытке саботажа дистрибутива. Ранним утром того же дня из репозитория проекта на GitHub пропала часть наработок, а в репозиторий Cooker загрузили пустой пакет: из-за тега Obsoletes все пакеты GNOME и COSMIC помечались устаревшими и удалялись при обновлении. По версии OpenMandriva, к обоим эпизодам причастен бывший участник команды, у которого сохранились административные права. Удалённое сейчас восстанавливают, а полный аудит систем, по данным проекта, других нарушений не выявил.
Удалённые репозитории и пустой пакет в Cooker
Заявление в разделе анонсов форума OpenMandriva опубликовал участник команды под ником AngryPenguin. Удалена часть репозитория, над которым команда работала многие годы; сам автор заявления занимается проектом почти десять лет — срок истечёт в сентябре 2026 года.
Второй эпизод касается репозитория Cooker. Туда попал пустой RPM-пакет, в теге Obsoletes которого перечислены все пакеты GNOME и COSMIC. Пользователи этих рабочих окружений, обновившись, рисковали остаться без графической оболочки.
Obsoletes — тег RPM-пакета со списком пакетов, которые он заменяет. При обновлении перечисленные пакеты удаляются из системы, а на их месте оказывается пакет с этим тегом. Механизм описан в документации RPM.
Пустой пакет попал только в Cooker — ветку, где идёт разработка дистрибутива.
Cooker — ветка разработки OpenMandriva. Пакеты сначала попадают в неё, затем в ROME и только потом в стабильный выпуск; по документации проекта, поломки в Cooker считаются нормой.
Удалённые репозитории сейчас восстанавливают, ошибочно помеченные пакеты возвращают в рабочее состояние.
Зеркала репозиториев на частном сервере OneDev
Давиде Беатричи (Davide Beatrici), известный по работе над Mumble — программой голосового общения с открытым исходным кодом, — присоединился к OpenMandriva некоторое время назад. Ему доверились без колебаний: имя было на слуху. Заметного вклада в систему он не внёс, зато предложил перенести инфраструктуру репозиториев с GitHub на свой частный экземпляр OneDev и сделал резервную копию нескольких десятков репозиториев проекта.
OneDev — Git-сервер для самостоятельного размещения со встроенными CI/CD, системой отслеживания задач и Kanban-досками. Исходный код открыт.
Единодушия в команде это не вызвало. Отдавать репозиторий в частные руки одного человека часть участников не хотела, предпочитая публичную площадку вроде GitHub.
Конфликт в Matrix-чате и уход двух участников
Вместе с Беатричи в проект пришли ещё двое. Один из них со временем начал грубо вести себя с пользователями и участниками дистрибутива, из-за чего несколько человек ушли. Многое происходило в личных сообщениях, поэтому о части случаев команда узнавала не сразу.
Развязка наступила, когда нападкам подвергся ещё один человек — в чате и на GitHub. AngryPenguin исключил нападавшего из Matrix-чата канала OpenMandriva-Cooker. Бана не было, запрета на дальнейшее сотрудничество тоже. В заявлении он признаёт, что реагировать следовало раньше, и приносит извинения тем, кто пострадал от агрессии.
В знак протеста дистрибутив покинули двое, включая Беатричи — друга исключённого. Смысла держать зеркала на частной инфраструктуре после этого не осталось, и AngryPenguin разорвал связь — по крайней мере с теми зеркалами, что были в пакетах, которые он сопровождает. Именно это, как утверждается в заявлении, и привело к событиям : административные права у Беатричи никто не отозвал.
Почему в OpenMandriva отказались от иска
Действия бывшего участника в проекте называют недопустимыми и постыдными. Там же признают, что могли бы обратиться в суд: по оценке команды, произошедшее образует состав уголовного преступления. От судебного преследования решили отказаться.
Заявление опубликовали ради прозрачности перед сообществом и чтобы предупредить остальных участников сообщества открытого ПО. Полный аудит систем не выявил иных нарушений, кроме удалённых пакетов.
Ответа Давиде Беатричи на обвинения найти не удалось — ни в обсуждении на форуме, ни в открытых источниках на момент подготовки материала.
Заключение
Под удар попала только ветка разработки: пустой пакет загрузили в Cooker, а не в стабильный выпуск. Тем, кто держит на Cooker рабочие окружения GNOME или COSMIC, стоит проверить, на месте ли пакеты, и при необходимости переустановить их.
История упирается не в дыру в коде, а в раздачу административных прав. Права, оставшиеся у ушедшего участника, обошлись проекту дороже любой уязвимости.