Check Point détaille JSCeal, un malware JavaScript V8 compilé qui rejoue les cookies de session dérobés pour ouvrir un accès à des comptes Google sans mot de passe ni double authentification. Sécurisez les sessions avec des clés de sécurité et une liaison d’appareil, et surveillez l’exfiltration de cookies.
La version 1.37 de Kubernetes active par défaut KubeletInUserNamespace : kubelet, runtimes et CNI peuvent désormais tourner en tant que non-root dans un user namespace. Activez-le sur vos nœuds pour confiner les failles de type container-breakout loin des privilèges root de l’hôte.
La version rc2 du noyau Linux 7.3 corrige les erreurs d’ordonnancement cache-aware sur les CPU hybrides et poursuit la migration mémoire vers kmalloc_obj. Testez cette rc2 si vous exploitez des processeurs Intel Core hybrides ou des machines de type big.LITTLE.
La préversion publique d’Amazon Linux 2027 est disponible depuis le 3 septembre, avec un noyau 7.1, SELinux en mode enforcing par défaut et les pilotes AWS Neuron. Testez-la dès maintenant si vous planifiez une migration depuis AL2023.
Hcompany publie NeoMME, un encodeur multimodal multilingue de 260M à 800M paramètres qui traite texte et images dans un seul Transformer, sans tour de vision séparée. Pour la recherche de documents visuels, sa variante Retriever atteint la frontière de Pareto ViDoRe v3 avec un index 255 fois plus compact.
SourceHut modifie ses conditions d’utilisation pour prohiber le code assisté par LLM, devenant le deuxième grand forge à suivre l’exemple de Codeberg. Si votre projet dépend d’outils d’IA générative, préparez une migration vers Forgejo ou une instance auto-hébergée.
N-able publie un correctif d’urgence pour CVE-2026-86218, une exécution de code à distance pré-authentification (CVSS 10.0) dans sa plateforme RMM N-central, dont les chercheurs de Huntress disent avoir observé des tentatives d’exploitation. Mettez à jour vos instances locales vers 2026.3 HF4 et segmentez votre RMM du reste du réseau.
NEC corrige CVE-2026-16876, une faille critique (CVSS 9.4) dans la WebGUI des routeurs UNIVERGE IX-R et IX-V : un message forgé contourne l’authentification et exécute des commandes arbitraires. Mettez à jour le firmware ou désactivez la WebGUI si elle est joignable depuis Internet.
CVE-2026-48710, surnommée BadHost, permet à un attaquant non authentifié de transformer une requête bloquée en requête autorisée en ajoutant un caractère à l’en-tête Host, dans toutes les versions de Starlette antérieures à 1.0.1. Mettez à jour Starlette et auditez chaque middleware qui lit request.url.path au lieu du chemin ASGI brut.
Début septembre 2026, le développeur Yureka Lilian a publié les premiers patchs de Device Tree pour le SoC Apple A18 Pro du MacBook Neo, un support encore limité à un seul cœur CPU. C’est le premier pas concret du support Linux sur le portable d’entrée de gamme d’Apple, mais il faudra des mois avant un usage quotidien.
Le 31 août 2026, entre 07 h 35 et 21 h 45 UTC, un acteur a compromis une clé API Cloudflare de Coder et redirigé une partie du trafic du registre de modules vers un serveur malveillant qui exfiltre les identifiants cloud. Vérifiez vos journaux pour coder-infra[.]com et révoquez les secrets concernés.
Broadcom corrige deux failles dans VMware Workstation et Fusion : CVE-2026-59346 (CVSS 9.3) et CVE-2026-59347 permettent à un administrateur de machine virtuelle d’exécuter du code sur la machine hôte. Mettez à jour vers 26H1u1 sans attendre, car aucun contournement n’existe.
