ElectroTech · 23 October 2026

Zephyr RTOS en 2026 : LTS 26.04, sécurité sous tension et outillage mature — l’open source s’installe dans l’embarqué

Il fut un temps où choisir un RTOS revenait à signer un chèque et à s’en remettre à un éditeur propriétaire. En 2026, la donne a changé : Zephyr, le système d’exploitation temps réel open source hébergé par la Linux Foundation, s’est imposé comme une alternative crédible, soutenue par les fondeurs et adoptée aussi bien par l’industrie que par les makers. Et cette année marque un jalon : l’arrivée d’une LTS 26.04 portée par Canonical, avec jusqu’à quinze ans de maintenance. Tour d’horizon d’un écosystème qui a mué, entre architecture modulaire, correctifs de sécurité sous tension et outillage enfin mature.

Zephyr RTOS en 2026 : la revanche de l’open source dans l’embarqué

Il y a encore cinq ans, évoquer un RTOS open source dans un cahier des charges industriel déclenchait souvent un haussement de sourcils. Les équipes de développement préféraient s’appuyer sur des solutions éprouvées, propriétaires, avec un support commercial clair. En 2026, ce réflexe s’est inversé. Zephyr, projet hébergé par la Linux Foundation, s’est imposé comme un acteur central du paysage des systèmes embarqués, au point que même les géants historiques du propriétaire ont dû s’adapter : Microsoft a ainsi placé Azure RTOS (ThreadX) sous licence open source MIT sous l’égide de la fondation Eclipse, un mouvement qui en dit long sur la dynamique du marché.

Cette montée en puissance ne doit rien au hasard. Zephyr bénéficie d’un soutien actif des grands fondeurs de semi-conducteurs, qui voient dans ce RTOS un moyen de standardiser leurs offres logicielles autour d’un socle commun. Les cartes de développement, les SDK et les exemples fournis par les fabricants intègrent désormais Zephyr au même titre que les piles propriétaires. Côté communauté, les signaux sont au vert : le projet revendique plus de 1 000 contributeurs actifs à travers le monde, les salons professionnels comme Embedded World — et désormais son édition nord-américaine, Embedded World North America 2026, dont l’actualité technologique a été largement couverte en septembre — consacrent des sessions entières au projet, et les formations spécialisées se multiplient. Le projet revendique plus de 600 cartes supportées et plus de 150 capteurs intégrés, un chiffre qui illustre l’ampleur de l’écosystème.

Mais l’adoption ne se limite pas aux laboratoires de R&D. Les makers, longtemps fidèles à Arduino et à FreeRTOS, découvrent les avantages d’un système complet avec une vraie gestion de la configuration matérielle. Les tutoriels et articles de vulgarisation se multiplient, à l’image de ceux publiés par Elektor Magazine, qui consacre des dossiers pratiques à la prise en main de Zephyr — comme le webinaire « Démarrer avec Zephyr RTOS » animé par Benjamin Cabé (Linux Foundation) et Clemens Valens (Elektor) dès 2024. Cette double dynamique — industrielle et communautaire — fait de Zephyr un cas d’école de l’open source qui infuse dans un domaine historiquement conservateur. Le mouvement plus large des logiciels embarqués open source gagne d’ailleurs en maturité et en adoption, comme le souligne une analyse récente du secteur.

La vraie nouvelle de 2026, cependant, n’est pas communautaire : elle est industrielle. Canonical a annoncé la prise en charge de Zephyr 26.04 LTS, avec un engagement de maintenance pouvant aller jusqu’à quinze ans. C’est un changement de nature pour un projet longtemps perçu comme « jeune » : une LTS adossée à un acteur commercial reconnu apporte aux équipes produit la garantie de correctifs de sécurité et de mises à jour suivies sur des cycles de vie comparables à ceux d’un RTOS propriétaire. Pour les industriels qui hésitaient encore à franchir le pas, c’est probablement l’argument décisif de l’année.

Kconfig, Devicetree et multi-cœurs : l’architecture qui respire

Ce qui distingue Zephyr des RTOS plus anciens, c’est d’abord son architecture modulaire, pensée dès l’origine pour s’adapter à des configurations très variées. Deux outils structurent cette modularité : Kconfig, hérité de l’écosystème Linux, permet de configurer le noyau et les sous-systèmes par une arborescence d’options ; Devicetree, quant à lui, décrit le matériel de façon déclarative — adresses, interruptions, périphériques — et génère automatiquement les structures de pilotes correspondantes. Cette séparation entre configuration logicielle et description matérielle simplifie considérablement le portage d’une application d’une carte à une autre.

Le modèle de pilotes, entièrement basé sur Devicetree, permet d’ajouter un capteur ou un écran sans toucher au code applicatif : il suffit de déclarer le nœud dans l’arbre et de s’appuyer sur l’API générique. Cette approche, qui peut dérouter au premier abord, devient rapidement un atout majeur pour les projets qui évoluent. Les sous-systèmes intégrés couvrent un large spectre : Bluetooth Low Energy 5.0, LoRaWAN, OpenThread, mais aussi des bibliothèques graphiques comme LVGL et des systèmes de fichiers comme littlefs. Le tout est scalable : l’empreinte minimale du noyau est désormais documentée à 8 Ko de RAM et 32 Ko de Flash, ce qui le rend aussi à l’aise sur un microcontrôleur 32 bits contraint que sur un processeur applicatif, avec une prise en charge native des architectures 32 et 64 bits.

Le noyau lui-même propose un sous-système de multithreading avancé, avec threads coopératifs et préemptifs et gestion fine des priorités temporelles — la base sur laquelle reposent les garanties temps réel. L’une des évolutions les plus attendues concerne la prise en charge des SoC hétérogènes, combinant par exemple des cœurs RISC-V et ARM sur une même puce, avec des DSP et de la mémoire partagée. Les sources disponibles en 2026 ne détaillent pas encore d’API spécifiques pour ces configurations, mais la direction est claire : Zephyr, qui supporte déjà ARM, x86, RISC-V, Xtensa, MIPS, Nios2 et MicroBlaze, travaille à une meilleure orchestration des clusters multi-cœurs. La gestion de l’énergie, cruciale pour les objets connectés sur batterie, fait également l’objet d’attention, avec des mécanismes de suspension et de réveil adaptés aux contraintes temps réel.

Cette ouverture multi-architectures tombe à point nommé : dans notre dossier sur RISC-V en 2026, nous relevions que l’ISA ouverte franchit le seuil des 25 % de parts de marché agrégées (CPU, MCU, accélérateurs IA), avec des MCU RISC-V de plus en plus présents aux côtés des STM32 et ESP32. Un RTOS qui supporte nativement ARM et RISC-V sur un socle logiciel commun devient mécaniquement plus stratégique — c’est exactement le terrain sur lequel Zephyr creuse son avance face aux noyaux historiques, plus étroitement liés à une famille d’architectures.

CVE 2026-13734/13735 : quand Zephyr a dû colmater les brèches

Aucun système n’est infaillible, et l’open source n’échappe pas à la règle. L’année 2026 a vu la publication de deux vulnérabilités dans Zephyr, référencées CVE-2026-13734 et CVE-2026-13735. Si les détails techniques de la première restent largement confidentiels dans les sources publiques, la seconde a été identifiée comme touchant la pile réseau, plus précisément le protocole WireGuard, utilisé pour les tunnels VPN. Le titre de la notification, rapporté par une source tierce (cvefeed.io), évoque des « messages de données de transport keepalive » — un vecteur d’attaque qui pourrait permettre à un attaquant distant de perturber le fonctionnement d’un nœud.

Il faut ici faire preuve de prudence : aucune source officielle de la Zephyr Foundation ni base nationale de vulnérabilités (NVD) n’a fourni, à la date de notre enquête, de score CVSS précis ni de liste exhaustive des versions affectées. Ce que l’on sait, c’est que la fondation a publié des advisories et coordonné les correctifs avec les distributions qui embarquent Zephyr. Ce processus, bien rodé dans l’écosystème Linux, est un signal positif : la sécurité est prise au sérieux, avec une divulgation responsable et des correctifs rapidement intégrés aux branches stables.

Ces événements rappellent toutefois que l’adoption d’un RTOS open source implique une veille active. Les équipes doivent suivre les annonces de sécurité, mettre à jour leurs chaînes de compilation et tester leurs produits après chaque correctif. C’est le prix à payer pour bénéficier d’un code auditable et d’une communauté réactive — un avantage que les solutions propriétaires peinent à offrir avec la même transparence. Et c’est précisément là que l’annonce de la LTS 26.04 change la donne : un cycle de maintenance long et contractualisé transforme cette veille en processus industrialisé, avec des fenêtres de correctifs prévisibles plutôt qu’un suivi au fil de l’eau des branches de développement.

De West à Tracealyzer : la boîte à outils du développeur Zephyr

L’écosystème d’outils a longtemps été le point faible des RTOS open source. Ce n’est plus le cas. Benjamin Cabé, Developer Advocate pour le projet Zephyr, le rappelait dès 2024 lors du webinaire Elektor : Zephyr est « bien plus qu’un simple RTOS », il inclut des outils comme West et Twister. West est le méta-outil de build et de flash, qui gère les dépendances entre le noyau, les pilotes et les applications ; Twister automatise l’exécution des tests sur de multiples configurations et cibles. Ces deux outils, intégrés au workflow standard, offrent une expérience comparable à celle des IDE propriétaires, mais en open source.

Le Zephyr SDK fournit les chaînes de compilation croisées pour toutes les architectures supportées, et l’intégration avec VS Code s’est nettement améliorée : l’extension officielle permet de configurer, compiler et débugger directement depuis l’éditeur, avec une visualisation des threads et des files d’attente. Pour le debugging temps réel, Percepio Tracealyzer, dans sa version 4.6, supporte Zephyr aux côtés de ThreadX, comme l’a annoncé NeoMore. Cet outil trace l’exécution des tâches, les appels système et les communications inter-thread, ce qui s’avère précieux pour diagnostiquer les problèmes de concurrence ou de latence. Percepio a d’ailleurs animé des ateliers pratiques lors du Microchip MASTERs 2026, confirmant l’intérêt du marché pour ces capacités.

Comparé aux workflows des RTOS propriétaires, l’outillage Zephyr présente un avantage décisif : la transparence. Les scripts de build sont lisibles, modifiables, et l’ensemble du processus est reproductible. Pour les équipes qui viennent de FreeRTOS, l’apprentissage de West et de Kconfig représente un investissement initial, mais il est rapidement rentabilisé par la puissance de configuration offerte. Les développeurs expérimentés recommandent de commencer par un projet simple, avec une carte supportée officiellement, avant de se lancer dans des configurations complexes. Les guides pratiques publiés en 2026 — prise en main sur nRF52840 et STM32, pilotes, Devicetree, Bluetooth LE avec mise à jour OTA — confirment d’ailleurs que la courbe d’apprentissage est désormais balisée, ce qui n’était pas le cas il y a trois ans.

Du wearable au contrôle industriel : Zephyr en action

Les cas d’usage concrets illustrent la polyvalence de Zephyr. Dans le domaine des appareils portables, les montres connectées et les bracelets d’activité exploitent la pile Bluetooth Low Energy 5.0 et les mécanismes de gestion d’énergie pour tenir des semaines sur une petite batterie. L’empreinte mémoire réduite — 8 Ko de RAM, 32 Ko de Flash — permet d’utiliser des microcontrôleurs économiques, ce qui abaisse le coût matière des produits grand public.

Côté IoT industriel, Zephyr est devenu un choix naturel pour les capteurs sans fil : les bibliothèques LoRaWAN et MQTT sont intégrées, et le support des protocoles comme OpenThread facilite la construction de réseaux maillés robustes. Les intégrateurs comme Witekio, qui proposent des services de développement firmware autour de Zephyr, soulignent les gains de productivité : la configuration par Devicetree évite de réécrire les pilotes à chaque changement de carte, et la maintenance est simplifiée par la standardisation du code. Les coûts de licence, nuls, représentent également un argument de poids face aux solutions propriétaires, surtout pour les séries à bas volume.

Dans l’automatisme industriel, où les contraintes temps réel sont strictes, Zephyr offre un ordonnancement préemptif et des primitives de communication inter-thread éprouvées. Les retours d’expérience font état d’une réduction significative du temps de développement par rapport au bare metal, grâce aux sous-systèmes prêts à l’emploi. Bien sûr, chaque projet a ses spécificités, et il faut évaluer la pertinence de Zephyr au cas par cas — mais la tendance de fond est indéniable : le RTOS open source s’est installé dans les chaînes de production. L’arrivée de la LTS 26.04 devrait accélérer le mouvement dans les secteurs réglementés, où la traçabilité des correctifs sur dix ou quinze ans est un critère d’achat à part entière.

FreeRTOS, ThreadX, Mbed OS : Zephyr a-t-il vraiment gagné ?

Pour répondre à cette question, il faut comparer ce qui est comparable. FreeRTOS reste le RTOS le plus répandu dans l’embarqué, grâce à sa simplicité et à sa licence permissive. Mais il s’agit d’un noyau minimal, sans les sous-systèmes intégrés de Zephyr : pas de pile Bluetooth native, pas de Devicetree, pas d’outillage standardisé. Pour un projet simple, FreeRTOS suffit ; pour un produit connecté complexe, Zephyr apporte une valeur ajoutée nette.

ThreadX, désormais Eclipse ThreadX, a été ouvert par Microsoft en 2024 — un aveu de la pression exercée par l’open source. Avec plus de 12 milliards d’équipements déployés, il conserve une base installée massive, mais son écosystème d’outils reste marqué par son héritage propriétaire. Mbed OS, quant à lui, a vu son support communautaire décliner, et son avenir est incertain dans un marché où Zephyr concentre les investissements.

Le tableau ci-dessus ne désigne pas un vainqueur absolu : il montre où se situe chaque noyau dans le spectre. FreeRTOS reste imbattable sur les projets minimalistes ; ThreadX garde sa base installée ; Zephyr, lui, occupe désormais la case « produit connecté complexe avec exigences de maintenance longue », une case qui n’existait tout simplement pas dans les grilles d’évaluation il y a cinq ans.

Ce que 2026 change pour le concepteur : trois arbitrages renouvelés

Premier arbitrage : LTS ou dernière version ? Avec la 26.04 LTS soutenue jusqu’à quinze ans par Canonical, la question n’est plus « faut-il oser Zephyr ? » mais « faut-il partir sur la LTS ou suivre les branches courantes pour profiter des derniers pilotes ? ». Pour un produit destiné à durer, la LTS s’impose ; pour une carte récente dont le support vient d’arriver, il faudra parfois composer avec des rétroportages.

Deuxième arbitrage : sécurité intégrée ou sécurité ajoutée ? Les CVE 2026-13734 et 2026-13735 rappellent qu’aucune pile n’est immunisée. La bonne pratique 2026 consiste à intégrer la veille sécurité au cycle de développement — suivi des advisories, tests de non-régression après correctif — plutôt qu’à la traiter en urgence. La LTS facilite ce processus en fournissant un canal de correctifs identifié.

Troisième arbitrage : architecture cible. Le support natif d’ARM et de RISC-V sur un même socle logiciel prend une importance nouvelle à l’heure où l’ISA ouverte franchit les 25 % de parts de marché agrégées. Concevoir aujourd’hui avec Zephyr, c’est se ménager la possibilité de changer de famille de MCU sans réécrire la couche applicative — un luxe que les RTOS historiques, plus monolithiques, n’offrent pas toujours.

Sources

• Canonical announces Zephyr 26.04 LTS, delivering up to 15 years of maintenance — Canonical, 2026
• Zephyr RTOS 2026 : Guide Complet — Drivers, DeviceTree et Bluetooth LE sur nRF52 — Wikiot, 2026
• Zephyr RTOS en 2026 : Premiers Pas sur nRF52840 et STM32 — Guide de démarrage — Wikiot, 2026
• Press Releases — Zephyr Project — Zephyr Project (Linux Foundation)
• Latest Tech at Embedded World North America 2026 — Electronic Design, 22 septembre 2026
• Mouser New Product Insider: Over 5,000 New Parts Added in Third Quarter — Electronics Sourcing, 19 octobre 2026
• RISC-V in 2026: 25% Market Share Against x86 and ARM — AESTECHNO, 2026
• RISC-V vs ARM en 2026 : parts de marché, comparatif STM32/ESP32/RP2350/CH32V — dossier du magazine, 2026
• cvefeed.io — notification CVE-2026-13735 (WireGuard, messages keepalive), 2026
• NeoMore — annonce Percepio Tracealyzer 4.6 (support Zephyr et ThreadX)
• Elektor Magazine — webinaire « Démarrer avec Zephyr RTOS », Benjamin Cabé (Linux Foundation) et Clemens Valens (Elektor), 2024

Article recherché et rédigé automatiquement · Magazine Electrosens