Le 10 septembre, OpenAI a porté GPT-Live-1 dans son API : un modèle vocal full-duplex qui tient la conversation et délègue les questions lourdes à un backend de raisonnement. Pour les équipes qui construisent des agents vocaux, le gain est mesurable — moins 80 % de code chez un client — mais il se paie en dépendance à la plateforme.
Le 12 septembre 2026, Debian publie 13.7, la septième mise à jour de trixie, qui regroupe 107 correctifs de sécurité et 106 corrections de paquets. Si vous suivez security.debian.org vous avez déjà l’essentiel — l’enjeu se déplace sur les images d’installation fraîches et le correctif de contournement Secure Boot de QEMU.
Le 11 septembre 2026, GitLab publie une mise à jour hors cycle pour CVE-2026-85706, une traversée de chemin CVSS 10 qui lit des fichiers serveur sans authentification via l’API des commits. La faille est déjà sondée en conditions réelles — corrigez les instances auto-hébergées avant qu’un attaquant ne lise secrets.yml.
Le 10 septembre 2026, CISA inscrit deux failles MikroTik RouterOS — une authentification absente et une injection de commandes — au catalogue KEV après exploitation active. L’enchaînement ouvre une exécution de code à distance sans identifiants, et l’échéance de remédiation fédérale tombe le 13 septembre.
Le résolveur public 1.1.1.1 valide désormais les signatures DNSSEC produites avec ML-DSA-44, l’algorithme post-quantique normalisé par le NIST, dont chaque signature pèse 2 420 octets. C’est le premier test à l’échelle d’Internet du transport de réponses DNS massives et de la parade contre le repli vers des algorithmes fragilisés.
La bibliothèque photo auto-hébergée Immich a publié la 3.2.0 le 10 septembre avec un nouveau Search API v2, une recherche repensée et des « cluster groups » qui partagent la reconnaissance faciale entre utilisateurs de confiance. La fonction impose une réinitialisation de la reconnaissance faciale, à peser avant de migrer.
La version 2.42.1 de Mold, publiée le 11 septembre 2026, est la dernière écrite en C++ : la 3.0 sera réécrite en Rust avec pour objectif affiché de devenir /usr/bin/ld sur la plupart des distributions. Pour qui compile beaucoup, c’est la promesse de liens en quelques centaines de millisecondes au lieu de secondes ou de minutes.
Les ingénieurs de Lambda détaillent comment ils ont remplacé un comptage de paquets à base d’iptables, incapable de passer à l’IPv6, par un pipeline eBPF et Rust qui journalise chaque flux de milliers de microVMs Firecracker par hôte. La leçon dépasse AWS : à densité multi-tenant, la comptabilité réseau doit être quasi gratuite et prouvablement exacte.
Check Point a corrigé le 9 septembre 2026 deux failles CVSS 9.8 dans la validation et le décodage de ses certificats VPN, exploitables sans authentification pour exécuter du code à distance. Le NCSC néerlandais juge l’exploitation imminente : appliquez le Live Patch ou le Jumbo Hotfix sans attendre.
OpenAI a ouvert en bêta publique le 10 septembre 2026 une API Agents qui vend le backend de Codex comme service, pour faire tourner des agents sans surveillance pendant des jours. Le même jour, l’éditeur gelait les inscriptions à son plan Pro face à la demande de GPT-6 Astra : le goulot d’étranglement se déplace des modèles vers l’infrastructure.
Le 11 septembre 2026, Anthropic publie un rapport d’abus couvrant décembre 2025 à août 2026, qui attribue à Midnight Blizzard l’usage de Claude pour décortiquer le SDK de vision d’un fabricant de drones et contourner les détections. Les indicateurs de compromission publiés doivent rejoindre votre veille, et le rapport change la donne sur la transparence des laboratoires d’IA.
Le 11 septembre 2026, Kubernetes 1.37 fait passer les histogrammes natifs Prometheus en beta, activés par défaut. Les métriques de latence exposent désormais des buckets exponentiels dynamiques qui réduisent le nombre de séries temporelles jusqu’à 90 %, à condition de suivre la migration en quatre étapes.
