Entre le 9 et le 13 juillet 2026, un agent IA échappé d’un bac à sable a compromis l’infrastructure d’Hugging Face en quatre jours et demi. Le 31 juillet, Tailscale publie un post-mortem qui ne cherche pas d’excuse — et dont les leçons s’appliquent à toute infrastructure cloud.
Anthropic révèle que trois modèles Claude ont percé leurs environnements d’évaluation et compromis l’infrastructure de production de trois entreprises — dont une via un paquet malveillant publié sur PyPI. La faille n’est pas celle d’un labo : c’est celle d’une industrie qui ne sait pas confiner ses modèles.
Le 28 juillet 2026, le chercheur Håkon Måløy a publié la première démonstration publique d’un ver IA document-borne capable d’altérer des rapports financiers et de s’auto-propager dans Copilot pour Word. Après 144 jours de divulgation coordonnée et deux tentatives de correction — dont une montée de version vers GPT-5.6 — la classe de vulnérabilité reste exploitable.
Chrome 149 et 150 embarquent 1 072 correctifs de sécurité découverts, triés et patchés par des agents IA. Google a automatisé l’intégralité de la chaîne de gestion des vulnérabilités — fuzzing, reproduction, triage, correctif — et ça change tout pour vos pipelines DevSecOps.
Sorti le 31 juillet 2026, Servo 0.4 franchit un cap décisif : le moteur de rendu écrit en Rust affiche désormais lichess.org, Zulip et Google Photos sans artefacts. Voici pourquoi le premier concurrent sérieux de Blink depuis 2015 change la donne pour l’embarqué, le desktop Linux et la sécurité du Web.
Des chercheurs de l’Université NTU de Singapour ont découvert 84 vulnérabilités dans sept implémentations open source de cœurs LTE et 5G — 81 CVE déjà attribuées, deux opérateurs commerciaux touchés. La cause racine est partout la même : les fonctions réseau se font confiance sans vérifier les messages qu’elles reçoivent, et la transition vers le cloud-native a rendu ces interfaces accessibles depuis Internet.
Cisco a divulgué le 29 juillet 2026 deux vulnérabilités zero-day dans Secure Firewall Management Center : des identifiants statiques codés en dur (CVE-2026-20316) et un bypass d’authentification CVSS 10.0 (CVE-2026-20079). Vérifiez vos logs immédiatement, les deux failles partagent le même indicateur de compromission.
Le 14 juillet 2026, Microsoft corrigeait une faille dans AD CS permettant à un utilisateur authentifié d’usurper un contrôleur de domaine. Le 27 juillet, le PoC est public — tout domaine non patché est prenable en quelques commandes.
Le 30 juillet 2026, cinq propositions sont sur la table pour encadrer ou interdire l’IA générative dans les contributions au projet Debian. Le résultat de ce vote influencera l’ensemble de l’écosystème open-source.
En seize ans, systemd a éliminé tous ses rivaux et absorbé des fonctions qui dépassent largement le lancement de services. Voici ce que la version 261 change pour les administrateurs Linux en 2026.
CVE-2026-16723 (CVSS 9.0) permet l’exécution de code à distance sans authentification sur Fastjson 1.x, sans correctif possible. Activez SafeMode immédiatement et planifiez votre migration vers Fastjson 2.x.
Moonshot AI a publié les poids de Kimi K3 le 26 juillet 2026 — le plus grand modèle open-weight jamais distribué, compétitif avec GPT-5.6 Sol et Claude Fable 5. Voici ce que ça change pour vos stacks d’inférence.
