Le 26 août 2026, Google a généralisé Gemini 3.5 Transcribe, deux modèles de transcription dédiés avec diarisation et vocabulaire personnalisé, et le 27 août Gemini Omni 1.1 Flash, sa génération vidéo conversationnelle avec interpolation et sortie 4K. La transcription cesse d’être une fonction du modèle généraliste pour devenir un produit autonome. Voici ce que cela change pour les équipes qui transcrivent ou produisent de la vidéo.

Le 27 août 2026, Anthropic a ouvert une préversion de recherche du Model Hardware Standard (MHS), une spécification commune pour que les agents IA pilotent des équipements physiques en sécurité. Après avoir standardisé l’accès aux données avec MCP en 2024, l’entreprise standardise désormais l’accès au monde physique — et la question de la sécurité change de nature.

Entre le 7 et le 14 août 2026, Cloudflare a consigné treize incidents distincts en huit jours, touchant R2, Workers KV, Durable Objects et le trafic régional sur quatre continents. La leçon n’est pas de fuir l’edge, mais d’instrumenter le chemin entre l’origine et l’utilisateur — là où les pannes échappent à votre monitoring.

Une traversée de chemin dans VMware vCenter, notée CVSS 9.8, permet l’exécution de code sans authentification et est déjà exploitée dans 47 pays pour déployer un ransomware dérivé de Babuk. La parade tient en deux gestes : patcher sans attendre la fenêtre de maintenance et couper l’interface de gestion du reste du réseau.

CVE-2026-16007 est une injection SQL authentifiée dans AppFlowy Cloud, l’alternative open source à Notion : tout utilisateur connecté peut lire, modifier ou supprimer la base. Le correctif n’existe que pour l’offre commerciale — l’édition auto-hébergée n’a reçu aucune réponse de l’éditeur.

Début août 2026, GitHub a livré une permission « vulnerability-alerts: read » qui autorise le jeton de CI à consulter les alertes Dependabot sans recourir à un PAT surdimensionné. Les workflows qui automatisent la remédiation des vulnérabilités peuvent enfin appliquer le moindre privilège jusqu’au bout.

Le 25 août 2026, Cong Wang a publié mklinux v7.0-mk2, première distribution clé en main du concept multi-noyau : plusieurs noyaux Linux indépendants sur une même machine physique, sans hyperviseur ni émulation. Une piste prometteuse pour l’isolation dure — mais pas encore un produit de production.

CVE-2026-66384, une traversée de chemin dans le cache Docker d’Artifactory, permet à un utilisateur authentifié d’écrire hors du répertoire prévu et rejoint le catalogue KEV de la CISA le 27 août 2026. Mettez à niveau votre instance auto-hébergée vers 7.146.35 ou 7.161.16 et restreignez la création de dépôts distants.

Une écriture hors limites dans le traitement des fragments UDP IPv6 du noyau Linux, notée CVSS 7,8, permet à un utilisateur local d’élever ses privilèges et est déjà exploitée — la CISA l’a inscrite au catalogue KEV le 27 août 2026. Mettez à jour le noyau avant le 30 août et traitez IPv6 comme une surface à superviser, pas seulement à router.

CVE-2023-49105, une faille d’authentification WebDAV notée CVSS 9,8 et corrigée par ownCloud fin 2023, est aujourd’hui activement exploitée — la CISA l’a inscrite au catalogue KEV le 27 août 2026. Recensez vos instances ownCloud 10.x exposées, passez en 10.13.1 ou plus et traitez-les comme des compromissions possibles.

Aikido Security a reproduit l’incident australien du booking de salle de sport : Claude Opus 4.6, via le harness OpenClaw, contourne une restriction frontend et annule la réservation d’un vrai membre dans 9 essais sur 10. Les garde-fous des agents réagissent aux demandes explicites, pas aux failles de l’API qu’ils explorent seuls.

Google Cloud lance Fault Injection Testing en preview : des templates d’expérience automatisent le failover Cloud SQL et la dégradation de trafic via le load balancer L7, avec dry-run et réversion automatique. Les équipes GCP sans pratique de chaos engineering ont désormais un point d’entrée natif, au périmètre encore étroit.