Le 1er octobre 2026, la fondation Apache publie HTTP Server 2.4.69, qui corrige vingt vulnérabilités, toutes notées « low » ou « moderate » par l’équipe sécurité du projet. Aucune n’est atteignable sans un module optionnel ou un réglage non standard, ce qui transforme ce correctif massif en une maintenance de routine doublée d’un audit de configuration.
Le 11 octobre 2026, la zone racine DNS remplace sa clé de signature KSK-2017 par KSK-2024, la deuxième rotation de l’histoire depuis la signature de la racine en 2010. Tout résolveur validant DNSSEC qui ne fait pas déjà confiance à la nouvelle clé cessera de résoudre l’intégralité des noms : l’enjeu est de repérer, avant dimanche, les résolveurs dont l’ancre de confiance a été figée.
Le 17 septembre 2026, GitHub annonce que le label ubuntu-latest passe d’Ubuntu 24.04 à 26.04, avec un déploiement progressif entre le 19 octobre et le 19 novembre 2026. La migration embarque un saut de JDK de 17 à 25, des sauts de version majeure pour Docker Compose et Helm, et la suppression d’une douzaine d’outils préinstallés : les workflows qui ne pinent pas leur runtime vont casser.
Le 2 octobre 2026, AWS Health a lancé un catalogue de versions qui donne une vue centralisée des cycles de vie des versions logicielles des services AWS, à commencer par RDS, EKS et Lambda. Les équipes sur Business Support Plus, Enterprise Support ou Unified Operations peuvent l’interroger par API pour bâtir des plans de montée de version avant la fin de support, au lieu de subir les événements de cycle de vie au cas par cas.
Le 5 octobre 2026, Perforce a publié trois CVE critiques sur P4 Search, le moteur de recherche conteneurisé de Helix Core : un jeton d’authentification codé en dur (CVSS 10) et une interface de débogage JDWP laissée exposée permettent à un attaquant réseau non authentifié d’exécuter du code à côté du dépôt de code source. La parade tient en une mise à jour des images vers 2026.4.2 et un cloisonnement strict du service.
Pinchflat, le gestionnaire de téléchargement YouTube auto-hébergé, n’a plus connu d’activité depuis environ dix mois ; un fork, Pinchflat-ngx, reprend le projet avec 808 commits et y ajoute PostgreSQL, l’OIDC et un staging disque pensé pour les NAS. Si vous archivez déjà des chaînes, la bascule vers l’image latest est peu risquée, mais la migration vers PostgreSQL reste un chemin de réinstallation.
Six mois après les frappes de drones iraniennes sur ses centres me-central-1 (EAU) et me-south-1 (Bahreïn), AWS reconnaît qu’une partie des données hébergées exclusivement dans ces zones est irrécupérable, une première pour un fournisseur cloud mondial. Auditez immédiatement le placement de vos données et répliquez toute charge critique hors de la région.
À partir du 19 octobre 2026, GitLab.com limite les requêtes selon l’abonnement — 60 requêtes/heure par IP anonyme, 5 000/heure en Free, jusqu’à 25 000/heure en Ultimate — pour contenir la charge des agents IA et de l’automatisation. Authentifiez vos scripts et vos agents, et vérifiez vos pics avant les fenêtres de test des 7 et 14 octobre.
Après des années de blocage du HDMI Forum sur le pilote open-source, les correctifs FreeSync, VRR et ALLM pour l’AMDGPU sont alignés pour Linux 7.4, avec le Fixed Rate Link activé par défaut. Les joueurs et les utilisateurs de Steam Machines équipés d’un GPU AMD et d’un écran HDMI 2.1 gagnent enfin les hauts débits et la latence réduite sur le noyau mainline.
Le 1er octobre 2026, Cloudflare a publié Clef et Clef-flash, et AWS Strands Decider 2B : des modèles de décision open source qui répondent par des probabilités typées plutôt que par du texte, pensés pour la prise de décision des agents. Ils concurrencent le modèle fermé Jev et posent la question de ce qu’il faut cesser d’envoyer au modèle frontal.
Entre le 28 et le 30 août 2026, un attaquant a annoncé un préfixe plus spécifique de Hetzner avec une origine forgée, validé par RPKI, pour obtenir un certificat TLS frauduleux et distribuer une mise à jour Virtualizor malveillante. L’analyse complète de l’APNIC et de Kentik, publiée le 22 septembre, montre que RPKI seul ne suffit pas : serrez vos ROA, rejetez les routes invalides et déployez ASPA.
Une chaîne de deux failles Zammad — détournement de session puis élévation de privilèges vers root — a été exploitée le 21 septembre 2026 contre le DIVD, l’institut néerlandais de divulgation des vulnérabilités, et inscrite au catalogue KEV de la CISA le 2 octobre. Montez vos instances Zammad en version 7 et traitez toute instance exposée comme potentiellement compromise, car le correctif seul n’efface pas la persistance.
