Annoncé le 11 septembre 2026 et disponible le 26 octobre, le JetKVM Mini abandonne le SoC Linux au profit d’un ESP32-P4X à encodeur H.264 matériel, ce qui fait chuter le prix à 39 dollars l’unité et 33 dollars par pack de trois. Pour un homelab, l’accès out-of-band devient enfin abordable par machine.
Le 22 septembre 2026, F5 a divulgué CVE-2026-94127, une faille critique du module APM de BIG-IP notée CVSS 9,8 et exploitée en conditions réelles contre les systèmes configurés comme serveur d’autorisation OAuth. Appliquez le hotfix d’ingénierie ou l’iRule de contournement, puis traquez les échecs d’authentification OAuth répétés.
Corrigée en amont le 6 août 2026 dans le noyau Linux, CVE-2026-80521 reste non corrigée dans Ubuntu 26.04, 24.04 et 22.04 LTS, et la société DepthFirst a publié un exploit de sortie de conteneur le 22 septembre. Si vous hébergez des charges non fiables, appliquez le correctif amont ou isolez-les dans des microVMs.
Le 22 septembre 2026, WordPress a publié la version 7.1.2 pour corriger CVE-2026-87902, une faille critique qui permet à un attaquant non authentifié d’inclure un fichier PHP local dans la résolution de template et, sous conditions, d’exécuter du code. Mettez à jour immédiatement, en particulier les sites sans mise à jour automatique.
Le 21 septembre 2026, AMD a publié des correctifs du pilote noyau AMDGPU qui ajoutent l’identifiant mémoire GDDR7 et de nouveaux blocs IP, signalant les premiers GPU RDNA5. Les utilisateurs Linux profitent de ce travail open source des mois avant le lancement des cartes.
Le 21 septembre 2026, OpenAI a publié « Building standards for the next phase of AI », qui propose des standards techniques mondiaux, y compris pour l’auto-amélioration récursive, et un cadre de signalement des incidents. Les RSSI doivent lire ce texte comme la définition de fait du futur audit de sécurité des modèles.
Le 21 septembre 2026, CISA a inscrit CVE-2026-7273, un débordement de tampon sur la pile du CGI des switches Zyxel GS1900, à son catalogue KEV après une exploitation active confirmée. Restreignez l’interface de management, appliquez le correctif Zyxel avant le 24 septembre et lancez une recherche d’intrusion sur les équipements exposés.
Le 17 septembre 2026, AWS a publié Corretto 27, sa distribution OpenJDK gratuite, avec l’échange de clés hybride post-quantique pour TLS 1.3 et les en-têtes d’objets compacts activés par défaut. Testez ces gains en environnement non critique, mais gardez vos charges LTS sur Java 21 ou 25 : cette version n’est supportée que jusqu’en avril 2027.
Le 12 septembre 2026, Frigate 0.18, le NVR d’auto-hébergement à détection d’objets par IA, a remplacé son fichier YAML par une configuration complète via l’interface et ajouté des profils et un GenAI multi-fournisseurs. Sauvegardez votre configuration et frigate.db, vérifiez les changements cassants, puis migrez si vous voulez la config par interface.
Le 8 septembre 2026, la CNCF a annoncé la graduation de Karmada, l’orchestrateur multi-cluster qui déploie une application sur plusieurs clusters sans la modifier. Si vous pilotez trois clusters ou plus, ou préparez une infrastructure multi-cluster pour l’IA, c’est le moment d’évaluer ce passage au statut de projet mature.
Le 22 septembre 2026, D-Link a confirmé deux failles critiques dans le routeur DIR-822A en fin de vie, un débordement de tampon dans le serveur DHCP (CVE-2026-86296, CVSS 10) et une écriture hors limites dans le parseur L2TP (CVE-2026-86510, CVSS 9,9), toutes deux accompagnées d’une preuve de concept publique et sans correctif disponible. Remplacez ou isolez ces routeurs, et ne les exposez jamais sur Internet.
Le 22 septembre 2026, le chercheur Patrick Wardle a montré qu’un réglage non documenté de Muse, l’assistant IA de Meta, permet à une simple commande locale de rediriger la dictée vocale et de voler le jeton d’authentification du compte. Réduisez les permissions accordées aux agents IA et attendez le correctif de Meta avant d’en déployer de nouveaux.
