La CVE-2026-104286, notée CVSS 9,8, laisse un attaquant non authentifié écrire des fichiers arbitraires sur l’interface d’administration de FortiMail via une traversée de chemin et un octet NULL. En attendant le correctif, désactivez l’IBE et coupez l’interface de gestion d’Internet.
OpenAI annonce avoir neutralisé une campagne de distillation coordonnée qui extrayait le raisonnement protégé de ses modèles, attribuée à des personnes associées à Moonshot AI. Une étude d’août 2026 montre que les traces chiffrées de Claude, Gemini et GPT sont interchangeables entre sessions, ouvrant la voie à un jailbreak de déchiffrement à grande échelle.
La bêta d’Ubuntu 26.10 « Stonking Stingray » est disponible : elle achève la migration des coreutils vers Rust, embarque le noyau Linux 7.3, GNOME 51 et dbus-broker à la place de dbus-daemon. Testez-la pour mesurer l’impact de ce socle sur vos postes avant la sortie stable du 15 octobre.
Cloudflare regroupe journaux, traces, alertes et analytics dans une plateforme unique, et ouvre Traces en bêta pour suivre une requête de bout en bout. La tarification unifiée entre en vigueur le 1er décembre 2026, alors auditez vos volumes de journaux dès maintenant.
Gitea abandonne le préfixe « 1. » et publie la 28.0.0, une version majeure qui change la sortie réseau des opérations Git et corrige plusieurs failles d’autorisation. Une montée de version à planifier, pas à appliquer à l’aveugle.
La plupart des équipes plateforme ont rebaptisé leurs barrières « garde-fous » sans changer les mécanismes, et les développeurs les contournent. Le levier n’est pas dans la validation qui bloque, mais dans la mutation et la génération qui rendent la bonne configuration automatique.
Les appliances SD-WAN et VPN FatPipe MPVPN, WARP et IPVPN en firmware 10.1.2r60p100, en fin de vie, exposent une injection de commandes et un débordement de tampon qui donnent un shell root sans authentification. Montez vers une release supportée et restreignez l’interface de gestion, désactivée par défaut.
AWS embarque DuckDB dans Aurora PostgreSQL pour requêter en une seule requête les données opérationnelles et celles du data lake, sans pipeline ETL. Une bascule pour les équipes qui répliquaient le lac dans Postgres.
La faille CVE-2026-76504 laisse un attaquant non authentifié contourner l’authentification du Catalyst SD-WAN Manager via un encodage d’URI et obtenir les droits admin. Aucune parade n’existe : patcher immédiatement et inspecter les journaux j_security_check.
Le Taskflow Agent de GitHub Security Lab a trouvé 24 vulnérabilités Android réelles, du suivi de localisation via OsmAnd à la prise de contrôle de comptes Wikipédia. L’IA sait désormais trouver les bugs de logique à fort impact, mais pas encore les hiérarchiser.
L’instruction RMPOPT, attendue sur les EPYC Zen 6 « Venice », réduit la surcharge de la Reverse Map Table qui garantit l’intégrité mémoire des VM SEV-SNP, et son support Linux arrive dans le noyau 7.4. Les exploitants de VM confidentielles AMD peuvent préparer leurs bancs d’essai : le gain se joue sur les serveurs dont la RAM n’est pas saturée de machines chiffrées.
Mandiant et Google Threat Intelligence attribuent la CVE-2026-88772 à un acteur étatique qui exploite la faille DTLS de NetScaler depuis début septembre, chez des dizaines d’organisations. Mettre à jour ne suffit pas : il faut chercher les web shells et pivoter les identifiants volés.
