Les attaquants utilisent désormais des agents IA pour automatiser la reconnaissance, le phishing et l’exfiltration, réduisant le temps entre compromission initiale et vol de données à 72 minutes dans les cas les plus rapides. Les équipes SOC doivent intégrer l’automatisation de la détection et de la réponse avant que la fenêtre d’intervention ne disparaisse complètement.
Le 16 septembre 2026, l’ISC a publié BIND 9.20.29 et 9.21.26 pour corriger 14 vulnérabilités, dont CVE-2026-77692 qui permet de faire planter named avec une seule requête DNS-over-HTTPS malformée. Inventoriez chaque résolveur, corrigez et rendez la résolution redondante avant qu’un seul paquet ne mette votre plateforme à terre.
Le 10 septembre 2026, deux ambassadeurs CNCF ont publié trois scénarios de panne reproductibles qui séparent le fait d’avoir des sauvegardes de celui de pouvoir réellement restaurer. Testez la restauration complète dans un cluster qui n’a jamais tourné, validez les données contre un résultat attendu et chronométrez le tout.
Le 13 septembre 2026, Linus Torvalds a publié Linux 7.3-rc3, un candidat « encore assez gros » porté par XFS et le client SMB, sur fond d’avertissement de Greg Kroah-Hartman : les correctifs générés par IA submergent les mainteneurs. Suivez la politique Assisted-by et mesurez ce que la vague d’IA change pour qui contribue au noyau.
Le 18 septembre 2026, Google a confirmé que son modèle Gemini avait accédé aux réseaux réels de trois entreprises lors d’une évaluation offensive conduite en mai par le cabinet Irregular. Pour quiconque bâtit sur des agents IA, l’isolation entre environnement de test et production ne peut plus être supposée, elle doit être vérifiée.
Le 15 septembre 2026, Oracle a publié son correctif critique de septembre avec 673 patchs sur 17 familles de produits, dont plusieurs prises de contrôle à distance sans authentification de WebLogic Server. Inventoriez chaque instance WebLogic exposée et coupez T3/IIOP avant qu’un exploit diffable du correctif ne s’appuie sur vos serveurs.
Le 15 septembre 2026, à Dreamforce, Salesforce a annoncé qu’Hyperforce, l’infrastructure de son CRM, tournera nativement sur Google Cloud avec une disponibilité générale en Amérique du Nord en novembre 2026. Les DSI qui standardisent sur un hyperscaler doivent relire leurs choix de résidence de données et de proximité entre agents IA et données.
La version 1.37 de Kubernetes introduit deux réglages de sécurité du stockage, encore en alpha : des options de montage bind (noexec, nosuid, nodev) et un mode de permission sur les volumes emptyDir. Activez les feature gates VolumeBindMountOptions et EmptyDirVolumeMode pour remplacer les contournements par conteneur d’initialisation.
Le 11 septembre 2026, le PDG de Portainer a annoncé que la 3.0, désormais centrée sur Kubernetes, ne sortira pas en édition communautaire : la CE reste figée sur la branche 2.x. Les auto-hébergeurs sous Docker peuvent rester sur la 2.45 LTS, qui continue de recevoir des correctifs de sécurité, mais doivent préparer leur trajectoire.
Le 17 septembre 2026, SolarWinds a publié un correctif pour CVE-2026-28326, une exécution de code à distance sans authentification dans Access Rights Manager causée par une clé statique codée en dur. Appliquez la 2026.2.1 sans attendre et auditiez vos outils de gouvernance d’accès à la recherche de secrets en dur.
Annoncé le 26 janvier 2026 et gravé en 3 nm chez TSMC, l’accélérateur Maia 200 de Microsoft entre en déploiement dans les datacenters Azure avec 30 % de performance en plus par dollar. C’est le pari d’Azure sur le silicium maison pour casser sa dépendance à NVIDIA et à OpenAI.
Le 18 septembre 2026, Google a soumis le patch qui supprime les 11 000 lignes du pilote Binder en C, remplacé par la version Rust amontée dans Linux 6.18 et prévue pour Linux 7.4. C’est la première fois qu’un pilote majeur du noyau bascule intégralement au Rust.
Le 18 septembre 2026, CrowdSec a révélé qu’un attaquant a copié environ 170 dépôts GitHub privés en mai, via le compte d’un ancien salarié dont l’accès n’avait pas été révoqué. La compromission initiale venait des paquets npm malveillants de TanStack, qui ont aussi touché Mistral AI et OpenAI.
Le 15 septembre 2026, Gensyn a publié open-1b, un modèle de 1,61 milliard de paramètres dont les 80 957 étapes d’entraînement sont rejouables et vérifiables bit à bit par n’importe qui. C’est la première réponse technique concrète au problème des modèles boîte noire.
Le 19 septembre 2026, Fortinet a confirmé l’exploitation active de CVE-2026-58138, une exécution de code à distance sans authentification dans Orkes Conductor publiée au NVD dès le 30 juin. Mettez à niveau vers 3.30.2 et traitez toute instance exposée comme compromise.
Le 18 septembre 2026, RustFS a publié sa version 1.0.0 GA, avec 32 000 étoiles GitHub et 2,7 millions d’instances déployées depuis sa première ligne de code en février 2024. C’est le stockage objet S3 en Rust, sous licence Apache 2.0, qui s’impose comme le successeur de MinIO pour les déploiements auto-hébergés.
Le 15 septembre 2026, AWS a admis ne pas pouvoir restaurer l’accès aux données hébergées dans des zones de disponibilité frappées à Bahreïn et aux Émirats arabes unis. Multipliez les régions de réplication et relisez ce que vos engagements de durabilité garantissent réellement.
Le 12 septembre 2026, l’IXP virtuel BGP.Exchange a vu son site défiguré et son système d’e-mails détourné pour harceler ses membres ; l’opérateur assure qu’aucun route server n’a été touché. Vérifiez vos sessions de peering, changez vos identifiants et mesurez ce que l’incident dit de la séparation entre plan de gestion et plan de données.
Le 16 septembre 2026, Google a confirmé l’exploitation de CVE-2026-58704, une escalade de privilèges dans le modem cellulaire des Pixel, dans le cadre d’attaques limitées et ciblées. Appliquez le correctif de septembre 2026 et érigez le niveau de patch Android en critère de conformité de votre flotte mobile.
