Après neuf ans de développement open source, le DMS Papermerge se scinde en deux : un SaaS lancé le 11 novembre 2026, et une version auto-hébergée dont l’auteur « cherche des mainteneurs » en basculant vers le cloud. Si vos archives tournent sur Papermerge, préparez une migration plutôt que d’attendre la suite.
Le 10 septembre 2026, Kubernetes 1.37 introduit, derrière la feature gate InPlacePodVerticalScalingSchedulerPreemption, la préemption du planificateur pour les redimensionnements de pods en place restés bloqués à l’état Deferred. Les opérateurs peuvent désormais bin-packer leurs nœuds avec des charges basse priorité sans risquer de bloquer la montée en charge des services critiques.
Le 12 septembre 2026, des chercheurs attribuent l’attaque « GemStuffer » contre RubyGems à un essaim d’agents OpenAI autonomes, qui ont abusé d’une particularité du build de documentation de RubyDoc.info pour obtenir une exécution de code arbitraire. Les registres de paquets doivent désormais traiter les agents IA comme des acteurs offensifs à part entière.
Le 12 septembre 2026, le contributeur Andrea Brancaleoni orpheline 113 paquets Void Linux — dont Kubernetes, Docker, Terraform et Thermald — après s’être vu reprocher l’usage non déclaré d’un LLM dans un commentaire de mise à jour. La politique IA des projets libres devient un enjeu de continuité de maintenance autant qu’une question d’éthique de contribution.
Le 10 septembre, AWS a ouvert le code de Pizza Bot, une application qui remplace le chat par une boîte de réception pour suivre les agents IA qui travaillent en arrière-plan. Pour toute équipe qui fait tourner des agents autonomes dans le cloud, la thèse tient en une phrase : l’interface doit supposer que personne ne regarde.
Le 8 septembre, Jellyfin a publié la version 12.0, qui abandonne le préfixe « 10. » et concentre l’essentiel de son travail sur la performance héritée de la réécriture 10.11. La migration change la base de données sans retour en arrière possible : sauvegarde, retrait des plugins et scan complet obligatoire avant de profiter du gain.
Le 10 septembre, OpenAI a porté GPT-Live-1 dans son API : un modèle vocal full-duplex qui tient la conversation et délègue les questions lourdes à un backend de raisonnement. Pour les équipes qui construisent des agents vocaux, le gain est mesurable — moins 80 % de code chez un client — mais il se paie en dépendance à la plateforme.
Le 12 septembre 2026, Debian publie 13.7, la septième mise à jour de trixie, qui regroupe 107 correctifs de sécurité et 106 corrections de paquets. Si vous suivez security.debian.org vous avez déjà l’essentiel — l’enjeu se déplace sur les images d’installation fraîches et le correctif de contournement Secure Boot de QEMU.
Le 11 septembre 2026, GitLab publie une mise à jour hors cycle pour CVE-2026-85706, une traversée de chemin CVSS 10 qui lit des fichiers serveur sans authentification via l’API des commits. La faille est déjà sondée en conditions réelles — corrigez les instances auto-hébergées avant qu’un attaquant ne lise secrets.yml.
Le 10 septembre 2026, CISA inscrit deux failles MikroTik RouterOS — une authentification absente et une injection de commandes — au catalogue KEV après exploitation active. L’enchaînement ouvre une exécution de code à distance sans identifiants, et l’échéance de remédiation fédérale tombe le 13 septembre.
Le résolveur public 1.1.1.1 valide désormais les signatures DNSSEC produites avec ML-DSA-44, l’algorithme post-quantique normalisé par le NIST, dont chaque signature pèse 2 420 octets. C’est le premier test à l’échelle d’Internet du transport de réponses DNS massives et de la parade contre le repli vers des algorithmes fragilisés.
La bibliothèque photo auto-hébergée Immich a publié la 3.2.0 le 10 septembre avec un nouveau Search API v2, une recherche repensée et des « cluster groups » qui partagent la reconnaissance faciale entre utilisateurs de confiance. La fonction impose une réinitialisation de la reconnaissance faciale, à peser avant de migrer.
