La version 3.18 du CI/CD auto-hébergé Woodpecker impose une migration de base qui touche le stockage des journaux — sauvegarde et fenêtre de maintenance recommandées avant de mettre à jour. Elle durcit aussi la sécurité : les variables d’environnement additionnelles et de matrice ne sont plus injectées automatiquement dans les plugins.
Le 19 août 2026, AWS a ajouté un paramètre external_web_access à Web Search sur Amazon Bedrock, qui laisse les agents récupérer du contenu en direct sur le web public. Le verrou est une permission IAM, et le réglage par défaut est « ouvert ».
Le 19 août 2026, l’équipe Go a publié la version 1.27, six mois après la 1.26. Au menu : des méthodes génériques, un paquet encoding/json/v2 aux valeurs par défaut plus strictes et le schéma post-quantique ML-DSA intégré à TLS 1.3.
Le 22 août 2026, le noyau Linux a enregistré la démission de Steve French, mainteneur du client CIFS/SMB3 depuis 2002, pour raisons de santé. Le sous-système passe aux mains de Paulo Alcantara et Namjae Jeon, et la communauté a appris le jour même son décès.
Deux failles publiées le 19 août 2026, CVE-2026-71960 et CVE-2026-71961, permettent à un attaquant sans compte de forger un jeton MQTT puis d’exécuter des commandes root sur le routeur mesh Cudy WR3000. Mettez à jour vers le firmware 2.5.24 et sortez l’interface mesh de votre exposition Internet.
Le 18 août 2026, Mozilla a corrigé CVE-2026-75874, une sortie de sandbox dans le composant Remote Settings de Firefox, notée CVSS 10.0 et exploitable sans aucune interaction. Mettez à jour Firefox et Thunderbird 154 sur l’ensemble du parc sans attendre.
Le 19 août 2026, la CISA a inscrit CVE-2026-64849, une SSRF non authentifiée dans MLflow, à son catalogue des vulnérabilités activement exploitées. Tout serveur de tracking MLflow exposé doit passer en 3.15.0 et couper les webhooks inutilisés avant l’échéance du 2 septembre 2026.
Un chercheur d’Adversa a montré que chiffrer des instructions malveillantes avec PBKDF2 et AES-256-GCM suffit à contourner les garde-fous de Grok, qui les déchiffre puis les exécute comme sa propre sortie d’outil. xAI a été prévenu en juin, et l’assistant exfiltrait encore le nom, la localisation et l’historique de chat de ses utilisateurs le 20 août.
Le pilote NTFS3 du noyau Linux restaure les bits setuid directement depuis des données disque non fiables, ce qui permet à une image NTFS forgée de produire un binaire setuid-root dès son montage. Signalé en privé il y a deux mois et toujours non corrigé, le bug touche les postes de travail dont l’automontage monte les volumes NTFS avec le bit suid par défaut.
Une chaîne d’infection ciblant les autoradios Android diffuse le malware JarService via l’application de mise à jour TWCore de DoFun. Kaspersky attribue l’opération au groupe MoYu, déjà derrière le botnet BadBox, et c’est la première fois qu’une chaîne malveillante vise spécifiquement ce type d’appareil.
AWS annonce la disponibilité générale d’une Local Zone à Las Vegas (us-west-2-las-2a) le 20 août 2026, avec EC2 C7i/M7i/R7i/C8gn, ECS, EKS, l’ALB et Direct Connect. Les équipes soumises à une contrainte de latence ou de résidence des données doivent la comparer à une région complète avant de choisir.
La version 0.39 de Docker Sandboxes, publiée le 19 août 2026, introduit des environnements déclaratifs décrits dans un fichier .sbxenv.yaml versionné et reproductibles via sbx env run. Les équipes qui exécutent des agents IA en CI doivent adopter ce format, mais verrouiller aussi la signature des kits et la gouvernance MCP.
