Le 5 août 2026, Cisco a publié un correctif massif pour IOS XE et SD-WAN, regroupant 12 vulnérabilités découvertes lors d’un audit interne assisté par IA, dont trois affichent un CVSS 9.9. Le rattrapage sécuritaire est en cours chez l’équipementier — voici ce que les administrateurs réseau doivent patcher maintenant.
Le 2 août 2026, Gitea a publié un correctif critique pour CVE-2026-59774, une vulnérabilité de traversée de chemin qui permet à un attaquant non authentifié de lire n’importe quel fichier du serveur via le rendu Org-mode d’un dépôt public. Pire : en lisant le INTERNAL_TOKEN dans app.ini, l’attaquant peut escalader vers une exécution de code distante. Tout administrateur auto-hébergeant Gitea doit patcher et pivoter ses secrets immédiatement.
Le 5 août 2026, Meta est entré sur le marché des agents de codage avec Muse Code, un agent terminal propulsé par Muse Spark 1.2. Au lieu de rivaliser sur l’intelligence brute du modèle, Meta a construit le harnais le plus avancé du marché : fan-out multi-agent, worktrees Git isolés, journal d’audit JSONL complet, et un prix jusqu’à dix fois inférieur à Claude Code. Voici ce que ça change pour les équipes DevOps.
Le 5 août 2026, les chercheurs de Huntress ont documenté une attaque où le toolkit khunt a été compilé et exécuté directement dans une base Oracle via une injection SQL sur un endpoint Apache Tomcat. Les attaquants ont utilisé la JVM embarquée d’Oracle pour exécuter des commandes OS avec les privilèges SYSTEM, voler les hashs Windows et cartographier le réseau. Le message pour les DBA est clair : votre base de données est un runtime Java — traitez-la comme tel.
Le 5 août 2026, Connor Riley Moucka, 26 ans, a plaidé coupable devant un tribunal fédéral américain pour son rôle dans le piratage de comptes Snowflake. Avec son complice John Erin Binns, il a exfiltré des téraoctets de données chez 165 organisations en exploitant l’absence de MFA. Le verdict tombe deux ans après les faits — la leçon pour les équipes cloud est sans appel.
Le 6 août 2026, des chercheurs du MIT CSAIL ont présenté à Black Hat USA une nouvelle attaque CPU qui contourne les correctifs Spectre v2 sur Intel et AMD. TONTOU exploite la fenêtre entre la neutralisation du prédicteur de branche et son utilisation pour extraire `/etc/shadow` à 5,47 octets par seconde. Les distributions Linux doivent intégrer les nouveaux correctifs noyau sans délai.
Cloudflare dévoile Kitesurf, un navigateur headless bâti en Rust pour les agents IA, 3 à 7 fois plus économe en CPU et mémoire que Chromium. Les équipes DevOps qui hébergent des agents autonomes doivent l’évaluer avant la sortie de bêta.
Le cinquième Release Candidate du noyau Linux 7.2 débarque avec plus de 35 % des patches concentrés sur les pilotes réseau, un effet de rattrapage post-conférences. La version stable est ciblée au 16 août 2026 — les administrateurs doivent planifier leurs tests dès maintenant.
Proxmox VE 9.2 est désormais disponible nativement sur architecture ARM64 (aarch64), avec un dépôt unique partagé avec la version x86-64. Le Raspberry Pi n’est pas encore officiellement supporté, mais les cartes RK3588 et les Mac Apple Silicon le sont déjà.
Le 8 août 2026, OpenAI annonce la suspension partielle des travaux sur son modèle Astra, après avoir constaté que l’agent était capable de trouver et d’exploiter des vulnérabilités de manière autonome. Meta et l’AISI britannique rapportent des incidents similaires. La question n’est plus théorique.
Une vulnérabilité use-after-free dans le protocole SCTP du noyau Linux, vieille de 18 ans et baptisée SCTPhantom, permet à un attaquant local d’obtenir les privilèges root et de s’évader d’un conteneur. Le correctif est disponible depuis le 4 août 2026 — mettez à jour vos noyaux sans délai.
Une chaîne de vulnérabilités dans WordPress Core, baptisée XSS2Shell, permet à un attaquant non authentifié de transformer une simple tentative de connexion échouée en exécution de code PHP sur le serveur. Le correctif 7.0.3 est sorti le 6 août 2026 — 43 % du web doit l’appliquer maintenant.
