SteamOS 3.9.5 stabil: Linux 7.2, Plasma 6.7, Sicherheitsupdates

Valve hat SteamOS 3.9.5 am 23. Oktober 2026 für alle Nutzer freigegeben. Die Release Notes fassen alle Änderungen seit der stabilen 3.8 zusammen. Die Schlagzeilen sind der Kernel 7.2 und Plasma 6.7.3. Für Admins interessanter ist ein Punkt, der in den Listen weiter unten steht: der Widerruf kompromittierter eMudhra-Zertifikate.

Bei den Angaben unten gilt: Was Valve selbst schreibt, ist als Herstellerangabe gekennzeichnet. Eigene Schlüsse sind als Schlussfolgerung gekennzeichnet.

Was Valve in 3.9.5 ändert

Laut Valve (Herstellerangabe, von Phoronix und GamingOnLinux bestätigt) enthält das Update:

• Linux-Kernel auf Basis von 7.2
• Desktop-Modus von Plasma 6.4.3 auf Plasma 6.7.3
• aktualisierte Arch-Linux-Basis
• Bootloader mit besserer Kompatibilität zu bestimmten Mainboards
• Umbenennung von Systempaketen und Werkzeugen von steamos- auf holo-, mit Aliasen für die alten Namen
• wieder eingeführte Unterstützung für Android Binder IPC und Verbesserungen für VM-Gäste (virtio-gpu, venus)

Der Sprung bei Plasma ist groß. Wer im Desktop-Modus eigene Einstellungen, Widgets oder Autostart-Einträge hat, sollte nach dem Update nachsehen, ob sie noch funktionieren. Valve nennt dazu keine bekannten Probleme.

WLAN, Energie und Hibernation

Valve schaltet das WLAN-Backend standardmäßig auf wpa_supplicant um, um die Kompatibilität mit verschiedenen WLANs zu verbessern. Ein schnelles Wiederverbinden nach dem Aufwachen, das von iwd übernommen wurde, kommt dazu. Ob bestehende Installationen das alte Backend behalten, steht in den Notes nicht und ist unbestätigt.

Den Leerlaufverbrauch des Steam Deck ohne Audiowiedergabe nennt Valve verbessert. Eine Zahl gibt es nicht, der Effekt ist also reine Herstellerangabe.

Hibernation ist laut Valve nur vorläufig eingebaut. Sie ist in der Game-Mode-Oberfläche nicht sichtbar und auf dem Steam Deck wegen eines offenen Treiberfehlers abgeschaltet. Man kann sie also weder erwarten noch einschalten.

Der eMudhra-Widerruf

In den Notes steht unter Sicherheit: kompromittierte eMudhra-CA-Zertifikate wurden widerrufen. Der Hintergrund stammt aus einer Mail von Mozilla auf oss-security vom 20. Oktober:

We became aware on the 17th of October that the private keys corresponding to 8 eMudhra Intermediate certificates have been compromised.

Betroffen sind 6 Zwischenzertifikate für TLS und 2 für Code-Signing. eMudhra widerrief sie am 18. Oktober, Sectigo am 19. Oktober. Firefox und Chrome sind laut Mozilla über OneCRL und CRLSets geschützt. Mozilla schreibt außerdem: Wenn Clients Widerrufsinformationen nicht zuverlässig prüfen oder im Zweifel durchlassen, müssen die Betreiber handeln.

BleepingComputer nennt die Ursache: Die Schlüssel waren P-384-Schlüssel vom April 2025, deren Werte laut eMudhra durch einen Skriptfehler kleiner als 256 waren. Man kann sie deshalb durch Ausprobieren von 256 Zahlen wiederherstellen. Einen Beleg für Missbrauch gibt es nicht, möglich wäre er seit April 2025 gewesen. Die meisten Zwischenzertifikate waren laut eMudhra nie produktiv im Einsatz.

Warum das für Systeme wie SteamOS wichtig ist: Ein unveränderliches System mit A/B-Partitionen bekommt Änderungen am Zertifikatsspeicher nur über ein OS-Update. Das ist eine Schlussfolgerung aus dem Aufbau von SteamOS, Valve schreibt es so nicht. Dieselbe Überlegung gilt für jedes Gerät, jeden Container und jedes Appliance-Image mit eingebautem CA-Bundle.

Pakete und Test auf Linux-Hosts

BleepingComputer nennt diese Stände mit dem Widerruf. Ein Leser-Kommentar dort meldet für Debian bereits eine Korrektur am 20. Oktober, das ist nicht bestätigt.

• Ubuntu: ca-certificates 20260816ubuntu0.*.1
• Arch: ca-certificates-mozilla 3.131.1-1 (NSS 3.131.1)
• Alpine: 20261020-r0
• Debian: laut BleepingComputer noch ausstehend

Software mit eigenem Zertifikatsspeicher kann den kompromittierten Zwischenzertifikaten laut BleepingComputer weiter vertrauen, bis sie selbst aktualisiert wird. Der Bericht nennt als Beispiel Go: Die Versionen 1.27.3 und 1.26.10 beheben CVE-2026-111943. Als Testadresse nennt er emudhra.we-have-a-problem.com. Wer prüfen will, ob ein Client den Widerruf kennt, ruft sie von dort aus auf. Ein Fehler beim Verbindungsaufbau ist hier das gewünschte Ergebnis (unsere Schlussfolgerung).

Was jetzt zu tun ist

1. Steam Deck oder anderes SteamOS-Gerät: In den Systemeinstellungen den Update-Kanal Stable wählen und 3.9.5 installieren. Danach den Desktop-Modus und das WLAN prüfen.
2. Linux-Hosts und Container: Das Paket ca-certificates auf den oben genannten Stand bringen. Container-Images neu bauen, wenn sie das Paket mitbringen.
3. Software mit eigenem Zertifikatsspeicher (Java, Go-Binaries, einzelne Clients) auf das Update des jeweiligen Herstellers prüfen.
4. Hibernation auf dem Steam Deck nicht erwarten.

Zur Einordnung der Quellenlage: Phoronix listet keine konkreten Sicherheitskorrekturen für 3.9.5, Valves Notes nennen genau eine, die eMudhra-Zertifikate, daneben allgemein Sicherheits- und Stabilitätsupdates.

Weiterführende Quellen

• Valve: SteamOS 3.9.5 Release Notes: Primärquelle zu allen Änderungen
• Phoronix: SteamOS 3.9.5: Kernel 7.2 als Basis
• GamingOnLinux: SteamOS 3.9.5 released: Stable für alle unterstützten Systeme
• Mozilla auf oss-security: eMudhra: Zeitablauf und Hinweise für Betreiber
• BleepingComputer: eMudhra-Zertifikate: Ursache, Paketstände, Testadresse
• The Linux Experiment auf YouTube: KDE Plasma 6.7 review: Video zu Plasma 6.7, 16. Juni 2026
• Simple Icons: steam.svg: Logo unter CC0, Marke gehört Valve