La forge auto-hébergée Forgejo a publié les versions 16.0.4 et 15.0.8 le 10 septembre pour corriger un RCE critique né de l’expansion de template, accompagné de trois failles d’autorisation qui partagent la même cause racine. Tout ce qui tourne en 16.0.3 ou avant doit être corrigé, et l’inventaire des jetons à portée réduite doit être revu.
Le 2 septembre 2026, Home Assistant 2026.9 modernise Modbus pour choisir un appareil industriel depuis l’interface sans écrire de YAML, et durcit l’instance en transmettant la vraie IP des connexions Cloud pour permettre le bannissement. Mettez à niveau si vous pilotez des équipements Modbus ou si votre instance est exposée.
Le 9 septembre 2026, Alby avertit que son portefeuille Lightning auto-hébergé Alby Hub contenait, jusqu’à la v1.18.5, une faille critique permettant de prendre le contrôle d’un nœud exposé sur Internet et d’en transférer les fonds. Si vous auto-hébergez un nœud Lightning, vérifiez votre version et coupez l’exposition publique avant toute mise à jour.
File Browser, le gestionnaire de fichiers web auto-hébergé aux 36 000 étoiles GitHub, a publié sa dernière version v2.63.23 le 27 juillet 2026 puis archivé son dépôt le 1er septembre 2026 : plus aucun correctif de sécurité ne suivra. Auditez vos instances exposées et migrez vers une alternative maintenue.
SourceHut modifie ses conditions d’utilisation pour prohiber le code assisté par LLM, devenant le deuxième grand forge à suivre l’exemple de Codeberg. Si votre projet dépend d’outils d’IA générative, préparez une migration vers Forgejo ou une instance auto-hébergée.
Plex publie Plex Media Server 1.43.3 et Plex Desktop 1.115.0 pour combler plusieurs failles dont les CVE n’ont pas encore été publiées, alors que Censys recense plus de 360 000 interfaces web exposées sur Internet. Mettez à jour serveur et clients, et vérifiez le canal de mise à jour de votre NAS qui peut accuser un retard.
Le 31 août 2026, Brad Fitzpatrick a publié tailcat, un paquet Go et un CLI open source qui expose le plan de données de Tailscale — WireGuard, NAT traversal et DERP — sans compte, sans IP et sans plan de contrôle. Utilisez-le pour relier deux machines isolées ou donner à un agent IA un accès jetable, sans privilège root.
Le 2 septembre 2026, Proxmox a annoncé un support entreprise en 24/7 à partir du 19 octobre et la création de Proxmox North America Inc. à Kingston, en Ontario, portée par un parc de 2,3 millions de serveurs. Pour les entreprises qui pèsent un remplacement de VMware après la hausse des prix de Broadcom, l’objection du support vient de tomber.
Fin août 2026, Cloudflare a publié EmDash, un CMS en TypeScript présenté comme le successeur spirituel de WordPress, et y a migré son propre blog. L’idée maîtresse tient en un mécanisme, isoler chaque plugin dans un sandbox avec des permissions déclarées, là où 96 % des failles WordPress viennent des plugins.
La mouture mensuelle 2026.9 de Home Assistant intègre une carte du réseau Matter (Wi-Fi et Thread) directement dans l’interface, un panneau Série pour les radios USB et un tableau de bord Sécurité revu. Pour l’auto-hébergeur, c’est la fin de l’opacité du maillage : on voit enfin pourquoi un appareil décroche.
Le 27 août 2026, Backblaze annonce que SSE-B2 chiffre automatiquement en AES-256 tout nouvel objet dès le 14 septembre, sans surcoût ni changement d’API. Pour l’auto-hébergeur qui sauvegarde sur B2, le chiffrement au repos cesse d’être une case à cocher à activer soi-même.
Le 27 août 2026, Portainer a fait passer sa ligne LTS de la 2.39.6 à la 2.45.0, en consolidant un an de versions intermédiaires. La nouveauté qui compte n’est pas cosmétique : c’est l’arrivée des politiques Pod Security Standards, du RBAC natif Kubernetes et du nettoyage automatisé d’images dans l’interface.
Le 26 août 2026, la Open Home Foundation a mis en ligne sur Zenodo le jeu de données anonymisé de sa première enquête communautaire, menée auprès de 8 616 utilisateurs de Home Assistant. La leçon pour tout projet autohébergé : on peut faire de la recherche ouverte sans exposer ses utilisateurs, à condition d’anonymiser sérieusement.
Le 24 août 2026, X Corp a mis en demeure le développeur unique de Nitter ; le 25 août au soir, nitter.net était hors ligne et le dépôt GitHub archivé. Pour qui autohéberge, la leçon est dure : un front-end alternatif reste une dépendance à la plateforme qu’il contourne.
CVE-2026-16007 est une injection SQL authentifiée dans AppFlowy Cloud, l’alternative open source à Notion : tout utilisateur connecté peut lire, modifier ou supprimer la base. Le correctif n’existe que pour l’offre commerciale — l’édition auto-hébergée n’a reçu aucune réponse de l’éditeur.
Floppy, un tracker de médias auto-hébergé sous licence AGPL-3.0, centralise films, séries, anime, livres, jeux, musique et podcasts, avec synchronisation Plex, Jellyfin, Audiobookshelf et Pocket Casts. Ceux qui veulent rapatrier leur historique de visionnage sur leur propre matériel trouvent ici une alternative à un conteneur Docker et une instance Redis.
Cloudflare publie le 5 août 2026 Cloudflare OS, sa plateforme interne d’agents IA, sous licence Apache-2.0 et auto-hébergeable sur workerd avec des LLM locaux via Ollama. Le modèle de sécurité — agents à accès initial nul et Gatekeepers par ressource — est la vraie nouveauté, mais le runtime exige un plan Workers payant.
CVE-2026-60004, une injection de code critique dans Gitea, est exploitée dans la nature depuis le 25 août 2026 : un attaquant peut exécuter des commandes comme l’utilisateur système de la forge. Les instances auto-hébergées avec inscription ouverte sont les premières visées ; la correction tient en une mise à jour et une désactivation.
Le 25 avril 2026, le dépôt minio/minio a été archivé en lecture seule : le serveur S3 auto-hébergé ne reçoit plus de correctifs ni de nouvelles versions. Le 24 août 2026, Docker a annoncé reprendre sa maintenance contre abonnement ELS, forçant les auto-hébergeurs à trancher avant leur prochain audit.
Unraid annonce que sa prochaine version majeure remplacera Slackware, sa base depuis environ deux décennies, par uCore de Universal Blue, une image serveur OCI immuable fondée sur Fedora CoreOS. Sauvegardes intégrées, Docker Compose natif et permissions des plugins arrivent avec ce changement d’architecture.
Une étude de Tom’s Hardware montre que le prix de la DDR5 a grimpé de 500 % en douze mois, un kit de 128 Go atteignant 3 399 dollars, sous l’effet de la demande en DRAM des hyperscalers. Les autohébergeurs doivent acheter leur capacité sur un horizon de deux à trois ans au lieu d’attendre une baisse.
Le 13 août 2026, Spotify publie Soloist, un client Connect headless officiel pour Raspberry Pi et Linux, doté d’une API WebSocket locale pour les intégrations maison. Les homelabbers qui bricolaient des clients non officiels ont désormais un chemin supporté — à condition d’en accepter les conditions.
Une étude IEEE parue en août 2026 analyse 443 156 disques Backblaze sur 1,66 million d’années-disque et corrige les biais d’âge : à conditions égales, HGST et WD tombent deux fois moins que Seagate et Toshiba. Pour un NAS ou un homelab, la leçon porte moins sur la marque que sur la température et la capacité.
La branche Proxmox VE 8, sortie en juin 2023 sur Debian 12, atteint sa fin de vie en août 2026 : les correctifs de l’hyperviseur s’arrêtent, même si Debian LTS continue. Pour qui gère du Ceph ou des conteneurs anciens, la montée vers la 9 est deux projets distincts — et un rollback qui passe par la restauration, pas par la migration inverse.
En août 2026, deux designers publient ShieldFont, une police web qui affiche un texte normal aux humains mais livre un contenu mélangé aux scrapers qui aspirent le HTML brut. Pour les auto-hébergeurs qui tiennent un blog ou une documentation, c’est une défense technique quasi gratuite — au prix de compromis sur le référencement et l’accessibilité.
Le 14 août 2026, SimpleX Chat a lancé une levée de fonds en equity crowdfunding via Wefunder, proposant à ses utilisateurs de devenir actionnaires de la messagerie privée auto-hébergeable. L’opération révèle la fragilité économique des messageries chiffrées indépendantes — et une piste de financement sans publicité ni revente de données.
En six mois, Tailscale a subi dix-neuf incidents de corruption causés par une course de données vieille de seize ans dans le mécanisme de WAL-reset de SQLite. Si vous self-hébergez des applications SQLite, vérifiez la version embarquée et ne sortez pas du chemin balisé.
La Human-Centered Computing Foundation a déposé auprès de l’ICANN sa candidature pour le TLD .self, un espace de noms pensé pour les projets auto-hébergés et centrés sur l’utilisateur. Derrière le symbole, la vraie question est de savoir ce qu’un nom de domaine peut réellement garantir — et si .self servira les auto-hébergeurs ou les désignera comme cibles.
Le 9 août 2026, Planka publie la version 2.2.0, qui retire l’authentification OIDC/SSO de l’édition communautaire et désactive les comptes qui en dépendaient. Avant de mettre à jour, créez un administrateur local, sinon l’instance peut devenir inaccessible.
En l’espace d’une semaine, Jellyfin a vu partir trois de ses mainteneurs les plus expérimentés, dont son chef de projet historique Joshua Boniface, parti pour cause de burn-out. Dans la foulée, le projet annonce renuméroter ses versions et sauter directement à la 12.0 — voici ce que cela change pour votre serveur.
Le 12 août 2026, ESPHome commercialise son Starter Kit, le premier produit matériel officiel de l’écosystème Open Home Foundation. Il promet des objets connectés locaux, sans soudure ni code, et marque l’entrée du self-hosting dans le hardware grand public.
Début août 2026, Trakt impose un abonnement VIP à 4,99 $ par mois pour créer une application API, et des clés existantes disparaissent. L’écosystème selfhosted qui synchronise Plex, Jellyfin et Kodi avec Trakt découvre sa dépendance à un service tiers qui n’est plus gratuit.
La version 2.35 de n8n, publiée le 11 août 2026, corrige les fuites de contexte des agents IA et ajoute une politique de masquage des secrets dans les nœuds Code. Le vrai signal : l’automatisation selfhosted n’est plus un bac à sable — c’est une alternative crédible aux iPaaS cloud pour les workflows agentiques.
L’écosystème self-hosted de l’**été 2026** franchit un cap de maturité : des outils comme **Uncloud** et **Komodo** transforment Docker Compose en orchestration de production, pendant que la fermeture d’API tierces force l’émancipation technique. Le homelab n’est plus un laboratoire.
Oracle réduit le quota ARM Always Free de 4 OCPU / 24 Go à 2 OCPU / 12 Go à partir du 18 août 2026. Si vous auto-hébergez des services sur l’offre gratuite d’Oracle Cloud, vous avez neuf jours pour redimensionner ou consolider vos instances avant leur terminaison automatique.
Le 2 août 2026, Gitea a publié un correctif critique pour CVE-2026-59774, une vulnérabilité de traversée de chemin qui permet à un attaquant non authentifié de lire n’importe quel fichier du serveur via le rendu Org-mode d’un dépôt public. Pire : en lisant le INTERNAL_TOKEN dans app.ini, l’attaquant peut escalader vers une exécution de code distante. Tout administrateur auto-hébergeant Gitea doit patcher et pivoter ses secrets immédiatement.
Proxmox VE 9.2 est désormais disponible nativement sur architecture ARM64 (aarch64), avec un dépôt unique partagé avec la version x86-64. Le Raspberry Pi n’est pas encore officiellement supporté, mais les cartes RK3588 et les Mac Apple Silicon le sont déjà.
En août 2026, l’écosystème du self-hosted vit une mutation silencieuse mais décisive : les modèles de langage compacts (Gemma 3 1B, Llama 4 3B quantifié, Qwen 3 0.5B) permettent désormais de faire tourner une IA conversationnelle locale sur du matériel grand public. Voici ce qui est réaliste aujourd’hui, ce qui ne l’est pas encore, et comment démarrer sans exploser votre facture électrique.
La version 3.1 d’Immich ajoute des filtres workflow par métadonnées EXIF, le verrouillage d’écran pendant l’upload web et la synchronisation des rôles OIDC. L’alternative auto-hébergée à Google Photos atteint une maturité serveur que les entreprises peuvent déployer sans crainte.
FFmpeg 9.0 sort le 3 août 2026 avec l’accélération Vulkan étendue, le décodeur Animated WebP et un backend ONNX Runtime. Voici ce que cette release majeure change concrètement pour votre serveur média auto-hébergé.
Le 31 juillet 2026, le projet Arch Linux a désactivé l'adoption de paquets sur l'AUR après la prise de contrôle malveillante de plus de 200 paquets. Le malware, un infostealer en Rust avec capacités de ver SSH, utilise Tor pour son C2 et cible wallets crypto, secrets cloud et clés API.
Entre l’arrêt de File Browser, la rupture Bitwarden-Vaultwarden, et la croisade de Codeberg contre le « vibe coding », l’écosystème selfhosted vit un été de tensions. Voici ce qu’il faut retenir et comment s’adapter.
Sorti le 30 juillet 2026, NetBSD 11.0 est la première version stable à supporter RISC-V, propose un noyau MICROVM qui démarre en 10 ms et renforce la compatibilité Linux avec epoll, clone3 et inotify. La release est publiée avec des failles de sécurité connues — et c’est précisément ce qui la rend crédible.
Immich publie sa version 3.0 le 2 juillet 2026, neuf mois après sa première version stable et un mois après le bilan de ses deux ans sous l’aile de FUTO. Il remplace Google Photos à condition d’investir dans un mini PC et d’organiser une vraie sauvegarde hors site : sans cette discipline, la bascule est un pari perdant.
Coolify publie sa version 4.2.0 le 21 juillet 2026, trois jours avant cet article. Ce PaaS open-source déploie vos apps, vos bases de données et 280 services en un clic sur n’importe quel serveur Linux — sans facture au Go ni limite de bande passante.
Linkding, gestionnaire de signets auto-hébergé, atteint sa version 1.45 en janvier 2026 avec 11 000 étoiles sur GitHub. Il remplace Pinboard, Pocket ou l’onglet « à lire plus tard » à condition d’accepter dix minutes de Docker et une discipline de tags.
Changedetection.io atteint 32 500 étoiles GitHub en juillet 2026 avec une v0.55.8 qui intègre le filtrage IA des changements et le rendu JavaScript via Playwright. Un docker-compose de dix lignes suffit à surveiller les pages de prix, les ruptures de stock et les modifications de CGV de vos concurrents avant qu’ils ne le découvrent eux-mêmes.
Dozzle pèse 4 Mo, ne stocke rien et affiche les logs Docker en temps réel dans le navigateur. La v10.6.13 du 27 juillet 2026 apporte une palette ANSI adaptative et un moteur SQL embarqué : si votre seul outil de logs est encore le terminal, vous perdez du temps chaque jour.
Zapier facture 30 $ par mois pour 750 tâches mensuelles. N8n, déployé sur votre propre serveur, vous donne des exécutions illimitées pour zéro euro — et le tarif ne monte pas quand vos workflows grossissent. Voici le calcul complet, le docker-compose et le verdict.
Sortie le 21 mai 2026, la version 9.2 de Proxmox VE apporte un répartiteur de charge dynamique, WireGuard en protocole de fabric SDN, Ceph Tentacle et le kernel 7.0. Après deux ans d’exode post-Broadcom, le rapport de force est définitivement inversé.
Avec 87 000 étoiles GitHub et une version 2.1.2 publiée en juillet 2026, Syncthing prouve qu’une synchronisation P2P chiffrée de bout en bout peut remplacer Dropbox sans serveur central ni abonnement. Si vos fichiers passent encore par le cloud pour aller d’un PC à l’autre, c’est le moment d’arrêter.
Datadog facture 15 $ par hôte et par mois pour l’infrastructure, 31 $ pour l’APM et 0,10 $ par gigaoctet de logs ingérés. Avec Grafana, Prometheus, Loki et node_exporter, la même couverture tourne sur un Docker Compose maison, sous Linux ou Windows, pour le prix du matériel et de l’électricité.
CrowdSec bloque 80 % des IP malveillantes avant qu’elles ne frappent votre serveur grâce à une blocklist collaborative de 14 000 nœuds. Il remplace Fail2ban avantageusement dès qu’on dépasse une machine ou qu’on expose des services web.
Miniflux est un lecteur RSS écrit en Go, distribué en binaire unique de moins de 20 Mo, qui ne tourne qu’avec PostgreSQL. En juillet 2026, sa version 2.3.3 cumule 9 500 étoiles GitHub — voici pourquoi ce minimaliste auto-hébergé écrase FreshRSS sur le seul terrain qui compte : la vitesse.
Pocket a fermé le 8 juillet 2025 et ses données utilisateur ont été supprimées trois mois plus tard. Wallabag, avec 12 900 étoiles GitHub et sa version 2.6.14, reprend le flambeau en open source — vos articles restent sur votre serveur, personne ne trace ce que vous lisez.
Portainer 2.39.5 LTS est sorti le 13 juillet 2026 et la version 2.43 STS apporte le RBAC natif Kubernetes. La Business Edition est gratuite pour 3 nœuds sans limite de temps, avec RBAC, GitOps et audit complet. Pour un homelab jusqu’à trois machines, c’est un no-brainer ; au-delà, le surcoût se justifie dès qu’on gère une équipe.
Avec 12 800 étoiles GitHub et un scraper capable d’importer depuis n’importe quel site de cuisine, Mealie est devenu le gestionnaire de recettes auto-hébergé de référence. Si vos favoris traînent dans 47 onglets, vos signets et trois applications différentes, il est temps de tout centraliser.
Authentik s’impose en 2026 comme le fournisseur d’identité de référence pour le self-hosting, devant Authelia et Keycloak. Un Docker Compose, cinq minutes de configuration, et tous vos services partagent le même login, la même MFA et le même annuaire.
Photoprism publie sa mise à jour du 28 juillet 2026 avec le support des panoramas 360°, des vignettes 16K et un visualiseur PDF intégré. Si Immich remplace Google Photos, Photoprism remplace votre logiciel de bibliothèque photo : les deux projets ne font pas la même chose, et les confondre coûte un week-end de migration pour rien.
Traefik v3.7.0, publié le 5 mai 2026, pousse le reverse proxy à son aboutissement logique : il lit les labels de vos conteneurs Docker, provisionne leurs certificats Let’s Encrypt et route le trafic sans un fichier de configuration statique. Si Nginx Proxy Manager vous a mis le pied à l’étrier, Traefik est l’étape d’après — celle où vous arrêtez de configurer votre reverse proxy pour le laisser découvrir vos services tout seul.
IT-Tools regroupe 80+ utilitaires de développement dans une interface web stateless, chiffrée en 29 Mo et déployable en une commande Docker. Si vous googlisez encore « base64 decode online » ou « cron expression generator », vous perdez du temps et de la confidentialité chaque semaine.
WireGuard est intégré au noyau Linux depuis mars 2020, Tailscale enchaîne sept ans de croissance continue, et Headscale dépasse les 42 000 étoiles GitHub mi-2026. Si vous auto-hébergez plus de deux services, un VPN mesh gratuit ou auto-contrôlé transforme votre accès distant sans configurer une seule règle de pare-feu.
Forgejo publie sa version 16.0 le 16 juillet 2026, trois ans et demi après le fork communautaire de Gitea. Un binaire unique de 100 Mo remplace GitHub et GitLab sur n’importe quel VPS d’entrée de gamme, sans renoncer à la CI/CD ni à la gouvernance libre.
Uptime Kuma atteint 89 600 étoiles GitHub en juillet 2026 avec une v2.1 qui intègre Globalping et la surveillance d’expiration de domaine. Un seul container Docker, 50 Mo de RAM et 90 canaux de notification suffisent à remplacer Uptime Robot pour quiconque a déjà un VPS.
Nginx Proxy Manager v2.14.0 transforme la configuration d’un reverse proxy en trois formulaires web et un clic sur Save. Let’s Encrypt, redirections et streams TCP/UDP inclus. Si Traefik vous intimide et Caddy vous ennuie, NPM est la réponse.
Nextcloud Hub 10 sort le 25 février 2025 avec 400 apps, un Assistant IA auto-hébergé et des uploads six fois plus rapides. À 12 € par utilisateur et par mois chez Google, la suite collaborative libre s’amortit dès le premier mois sur un VPS à 6 €.
Actual Budget, fork open-source de YNAB 4, publie sa version 26.7.0 le 2 juillet 2026. Ce gestionnaire de finances en enveloppe budgétaire fait tout ce que fait YNAB — budgets, imports OFX, synchronisation multi-appareils — sans le prélèvement mensuel de 15 $.
Le 29 avril 2025, Plex doublait le prix de son abonnement à vie et supprimait le streaming distant gratuit — un an plus tard, Jellyfin a franchi les 50 000 étoiles GitHub et capté 51 % du marché self-hosted. Si vous avez un serveur et une collection de médias, vous n’avez plus aucune raison de payer pour la diffuser.
AdGuard Home 0.107.77 et Pi-hole v6 se disputent le blocage DNS réseau en 2026. Le DNS chiffré natif, le contrôle par client et le contrôle parental intégré font pencher la balance pour tout nouveau déploiement. Si vous démarrez aujourd’hui, l’écart est tranché.
En 2026, Ollama et Open WebUI permettent de faire tourner un LLM chez soi sans diplôme d’ingénieur. Un Mac Mini M4 avec 24 Go de RAM unifiée fait tourner du 32B en Q4, et le point mort face à un abonnement ChatGPT Plus se situe entre 18 et 36 mois selon la machine choisie.
Vaultwarden 1.37.0, publié le 24 juillet 2026, est une réimplémentation complète du serveur Bitwarden en Rust qui consomme 50 Mo de RAM contre 2 Go pour l’officiel. Si vos mots de passe tournent chez vous, vous n’avez plus aucune raison rationnelle d’utiliser le serveur Bitwarden classique.
Le 8 avril 2026, la State of the Open Home confirme que Home Assistant, gouverné par l’Open Home Foundation, fédère plus de 250 projets open source et 89 500 étoiles GitHub. La domotique self-hosted a définitivement rattrapé les solutions commerciales — et sur le contrôle local, la vie privée et la pérennité, elle les dépasse.
Avec 43 000 étoiles GitHub et une version 3.0 imminente qui embarque un classifieur LLM, Paperless-ngx est devenu le standard de la gestion documentaire self-hosted. Voici pourquoi vos paperasses n’ont plus aucune excuse pour exister en 2026.
