Le 22 octobre 2026, la réunion Go/No-Go de Fedora déclare un second NO-GO : la distribution ne sortira pas la semaine prochaine, plombée par des bugs bloquants qui touchent la mitigation eMudhra, LVM sur LUKS et KDE Discover. Retenez le 3 novembre comme nouvelle cible, et lisez la liste des blocages comme une leçon de discipline de release.
Le fork FileBrowser Quantum passe en 2.0 stable le 9 octobre 2026 avec un journal d’activité, des permissions par source de stockage et une migration de BoltDB vers SQLite, suivie le 13 octobre d’un correctif pour deux failles de sécurité. Préparez une vraie procédure de migration avant de mettre à jour vos instances 1.x.
Le 22 octobre 2026, Google Cloud dévoile Agent Compute Engine, un service de calcul qui exécute chaque agent IA dans sa propre microVM isolée matériellement, sans aucun identifiant dans la sandbox. Évaluez la préversion dès son ouverture si vous faites tourner des agents Gemini en production, et traitez l’isolation microVM-par-agent comme la nouvelle référence à répliquer.
Le 16 octobre 2026, la bibliothèque d’images Python Pillow publie sa version 13.0.0, qui corrige CVE-2026-112900 : un nom de fichier contrôlé par l’attaquant est passé à Ghostscript et exécute des commandes sur le serveur. Mettez à niveau tout pipeline Python qui ouvre des images, car la faille touche une bibliothèque téléchargée environ 436 millions de fois par mois.
Le 22 octobre 2026, FoxIO démontre qu’une connexion non authentifiée peut multiplier jusqu’à 4 000 fois la mémoire consommée par un serveur HTTP/3, jusqu’au déni de service. Corrigez quic-go, quiche et lsquic sans attendre, et coupez HTTP/3 sur les stacks encore exposés.
Le 22 octobre 2026, V12 révèle que le client par défaut des SDK de paiement x402 signait des paiements sans plafond, permettant à une API malveillante de vider le solde d’un agent IA en une seule demande. Les correctifs du 18 août existent, mais ils ne sont pas signalés comme sécurité dans npm ni PyPI : mettez à niveau et fixez vos plafonds côté application.
Le 12 octobre 2026, Docker révèle que la conversion d’un compte en organisation réassignait les jetons d’accès personnels à un nouveau propriétaire sans renouveler le secret. Traitez le nom d’espace d’une image comme un signal de confiance faible : passez aux jetons d’organisation et signez vos images.
Le 21 octobre 2026, Microsoft attribue la compromission de ConnectWise Cloud Backup à Storm-0940, acteur aligné sur la Chine, qui s’appuie sur le framework d’IA agentique ARTEX pour passer du ciblage à l’accès privilégié en moins de trois heures. Réduisez les permissions des applications multi-locataires et surveillez les connexions de service principal comme un signal d’alerte à part entière.
Le 12 octobre 2026, Synology publie DSM 7.4.1-90080 Update 1, marquée « Important », sans lister aucune CVE ni détail sur les failles corrigées. Installez quand même la mise à jour, mais exigez de la transparence et durcissez votre NAS comme la cible qu’il est.
Le 21 octobre 2026, Anthropic ouvre la research preview de Claude Duet, une application où Claude agit comme agent proactif : briefing du matin, surveillance des applications connectées et tâches exécutées en arrière-plan, avec validation systématique avant toute action sensible. La promesse est forte, mais c’est le dispositif de sécurité — classifieur anti-fuite, identifiants jamais exposés, actions sensibles bloquées — qui fait ou défait la confiance.
Le 21 octobre 2026, Google Cloud met les modèles d’OpenAI — GPT-6 Astra, GPT-6.1 Sol et GPT-6 Luna — dans son Model Garden et devient le seul hyperscaler à proposer Gemini, Claude et GPT sur une même plateforme. Pour un RSSI, la nouvelle n’est pas le catalogue, c’est la gouvernance : ces modèles passent par le Marketplace, restent dans votre périmètre de données et s’intègrent à VPC Service Controls.
Le 21 octobre 2026, Linus Torvalds fusionne dans Linux 7.4 la suppression des fonctions __get_user() et __put_user(), des variantes historiques qui ne vérifient pas la plage d’adresses utilisateur et sont donc insécures. Il a rédigé la conversion en partie avec Claude Code, utilisé « comme une sorte de script Coccinelle » : l’IA s’installe dans la maintenance du noyau, y compris pour éliminer des classes entières de bogues mémoire.
