Sorti le 16 septembre 2026, GNOME 51 « A Coruña » retire le WEP et les interfaces NVIDIA héritées, migre le stockage de secrets vers le composant oo7 et ajoute les cartes hors-ligne dans Maps. Pour les équipes qui gèrent des parcs Linux, c’est la version à valider avant qu’elle n’arrive dans les distributions majeures.
Le 2 septembre 2026, Google DeepMind publie Gemini 3.8 Flash Cyber, un modèle spécialisé dans la détection de vulnérabilités et le patching automatisé, accessible uniquement aux défenseurs validés via le programme Fairwind. Les équipes de sécurité doivent mesurer ce qu’il change pour le patching et comment obtenir l’accès.
Le 9 septembre 2026, AWS porte le timeout des fonctions Lambda à 90 minutes sur Lambda Managed Instances et y ajoute les instances Graviton5, jusqu’à 25 % plus rapides que Graviton4. Les équipes qui contournaient la limite des 15 minutes ou qui hésitaient entre serverless et EC2 ont désormais une porte de sortie unique.
Le gateway S3 de Versity, un binaire Go stateless sous licence Apache-2.0, expose n’importe quel stockage POSIX derrière l’API S3, sans déployer MinIO ni Ceph. Les auto-hébergeurs qui veulent brancher Restic, rclone ou Velero sur leur NAS y trouvent un pont plus léger qu’un object store complet.
Le 11 septembre 2026, CISA a inscrit au catalogue KEV deux failles JFrog Artifactory : CVE-2026-42016, qui valide la signature d’un jeton sans vérifier sa portée, et CVE-2026-42018, qui fuit un jeton anonyme même quand l’accès anonyme est désactivé. Passez en 7.133.11, révoquez les jetons concernés et auditez l’accès anonyme avant qu’un artefact empoisonné ne parte en production.
Le 18 septembre 2026, CISA a inscrit au catalogue KEV trois vulnérabilités du noyau Linux : une course dans AF_ALG, une écriture hors limites dans ebtables SNAT et un traitement erroné des enregistrements TLS à longueur nulle. Corrigez avant le 21 septembre et vérifiez que votre distribution a rétroporté les trois commits.
Le 15 septembre 2026, nginx a publié les versions 1.31.6 et 1.30.5 pour colmater CVE-2026-90439, un débordement de tas dans le module HTTP/3 qui frappe les déploiements compilés contre OpenSSL 3.5.0 ou antérieur. Mettez à jour nginx et OpenSSL, puis désactivez HTTP/3 sur les bords qui n’en ont pas besoin.
Cilium 1.20, publié le 14 septembre 2026, fait du Gateway API sa couche de routage complète et comble le fossé IPv6 en mode ENI sur AWS. Les équipes qui doivent migrer d’ingress-nginx ou étendre leur CNI y trouveront une raison de franchir le pas.
Le cycle Linux 7.3, dont le rc2 est sorti le 6 septembre 2026 et le rc3 le 13 septembre, se distingue par un durcissement des systèmes de fichiers et du vérificateur BPF, et par une montée en puissance de sched_ext. Les équipes qui maintiendront ce noyau à long terme doivent anticiper les correctifs de sécurité à backporter.
Microsoft a livré le 8 septembre 2026 le plus gros Patch Tuesday de son histoire, avec 973 correctifs et deux failles d’élévation de privilèges déjà exploitées à l’état sauvage. Déployez les correctifs des deux zero-days sous 24 heures, puis traitez les failles critiques d’exécution de code sous sept jours.
Le 3 septembre 2026, Broadcom a mis à jour VMware Cloud Foundation en 9.1.1 avec le partage multi-tenant de modèles en disponibilité générale, une passerelle vers plus de 150 modèles et une échelle Kubernetes multipliée par 2,6. Pour l’inférence sur données réglementées, comparez le coût total d’un parc de GPU consolidé sur site au prix au jeton d’un hyperscaler avant de trancher.
Le 28 août 2026, un détournement BGP a redirigé pendant 33 heures le trafic de Softaculous vers un serveur contrôlé par un attaquant, qui a servi une mise à jour Virtualizor malveillante à plusieurs hyperviseurs. Vérifiez la présence du service java-jre-update.service, exigez des paquets de mise à jour signés et déployez le filtrage RPKI chez votre transitaire.
