Omarchy Linux e la sicurezza prima o dopo?

Nell’articolo “Merchants of Insecurity” (https://blog.happyfellow.dev/merchants-of-insecurity/), pubblicato il 25 agosto 2026, viene fatta una critica molto dura a Omarchy, distribuzione Linux promossa da David Heinemeier Hansson. L’autore dell’articolo apre con un avvertimento netto: chi tiene anche solo un minimo alla sicurezza del proprio computer dovrebbe evitare di usare Omarchy.

Il problema principale, secondo l’autore, è che Omarchy 4.0 è stato distribuito con numerose vulnerabilità di sicurezza, alcune delle quali particolarmente gravi. Tra gli esempi citati ci sono vulnerabilità di command injection attraverso i titoli delle finestre e la possibilità che determinate notifiche eseguano comandi Bash arbitrari sulla macchina. L’autore sottolinea che i bug di sicurezza sono inevitabili in qualsiasi progetto, ma ritiene particolarmente preoccupante che questi problemi derivino da pratiche di sviluppo prevedibilmente insicure, come l’utilizzo di script Bash generati dall’AI per elaborare input non affidabili senza un adeguato controllo.

La qestione centrale è che la sicurezza non possa essere aggiunta a posteriori partendo da una base fragile e aspettando che utenti e ricercatori scoprano e correggano i problemi. Secondo l’autore, per i curatori di Omarchy la sicurezza non è una priorità reale, nonostante le comunicazioni ufficiali suggeriscano il contrario.

La seconda parte dell’articolo prende di mira soprattutto il marketing di Omarchy. L’autore riconosce la capacità del progetto di presentarsi come un’esperienza Linux desktop moderna e curata, ma accusa l’autore della distribuzione di enfatizzare pubblicamente gli interventi del security team senza comunicare adeguatamente quanto fosse insicura la situazione di partenza. Una lunga lista di vulnerabilità risolte, sostiene, può sembrare positiva, ma perde significato se il sistema originario presentava problemi fondamentali.

Infine, l’autore dell’articolo chiarisce che non vuole impedire a nessuno di usare Omarchy. La sua preoccupazione è piuttosto che la percezione pubblica del rischio sia molto più bassa del rischio effettivo. Ritiene quindi necessario informare gli utenti, soprattutto perché il progetto, a suo giudizio, non starebbe comunicando in modo sufficientemente trasparente i propri problemi di sicurezza.

Fonti: https://blog.happyfellow.dev/merchants-of-insecurity/