Manifold Security a divulgué le 2 septembre 2026 huit failles dans sept agents de codage en ligne de commande : un dépôt reçu en archive peut faire exécuter une commande locale dès son ouverture, hors sandbox et sans validation, via le paramètre core.fsmonitor de Git. Désactivez core.fsmonitor par défaut et inspectez .git/config avant d’ouvrir un dossier reçu avec un agent.

Le 29 août 2026, Konstantin Ryabitsev a publié les chiffres de l’impact des crawlers d’IA sur les dépôts du noyau Linux : six millions de requêtes par jour, un cinquième de la capacité CPU, et à peine 2 % de trafic légitime. Pour tout service public autohébergé, c’est la preuve qu’un proof-of-work ne fait que déplacer le problème.

CVE-2026-60004, une injection de code critique dans Gitea, est exploitée dans la nature depuis le 25 août 2026 : un attaquant peut exécuter des commandes comme l’utilisateur système de la forge. Les instances auto-hébergées avec inscription ouverte sont les premières visées ; la correction tient en une mise à jour et une désactivation.

Le 2 août 2026, Gitea a publié un correctif critique pour CVE-2026-59774, une vulnérabilité de traversée de chemin qui permet à un attaquant non authentifié de lire n’importe quel fichier du serveur via le rendu Org-mode d’un dépôt public. Pire : en lisant le INTERNAL_TOKEN dans app.ini, l’attaquant peut escalader vers une exécution de code distante. Tout administrateur auto-hébergeant Gitea doit patcher et pivoter ses secrets immédiatement.

Forgejo publie sa version 16.0 le 16 juillet 2026, trois ans et demi après le fork communautaire de Gitea. Un binaire unique de 100 Mo remplace GitHub et GitLab sur n’importe quel VPS d’entrée de gamme, sans renoncer à la CI/CD ni à la gouvernance libre.