La version 3.6.0-rc1 d’Argo CD, publiée le 16 septembre 2026, ajoute des métriques et des conditions au progressive sync des ApplicationSets et enrichit la bibliothèque de health checks — CloudNativePG, cert-manager, Prometheus Operator, Kyverno. Les équipes qui déploient en vague sur plusieurs clusters devraient planifier la mise à niveau dès la sortie stable.
Le 17 septembre 2026, Check Point a publié un correctif d’urgence pour CVE-2026-91843, un débordement de pile noté CVSS 9.8 dans le processus de connexion de ses serveurs de management et de log, exploitable sans authentification pour exécuter du code en root. Appliquez le Live Patch sur chaque instance, validez-le avec cplp list et restreignez les Trusted Clients avant qu’un attaquant ne s’empare du plan de management de votre firewall.
Sorti le 16 septembre 2026, GNOME 51 « A Coruña » retire le WEP et les interfaces NVIDIA héritées, migre le stockage de secrets vers le composant oo7 et ajoute les cartes hors-ligne dans Maps. Pour les équipes qui gèrent des parcs Linux, c’est la version à valider avant qu’elle n’arrive dans les distributions majeures.
Le 2 septembre 2026, Google DeepMind publie Gemini 3.8 Flash Cyber, un modèle spécialisé dans la détection de vulnérabilités et le patching automatisé, accessible uniquement aux défenseurs validés via le programme Fairwind. Les équipes de sécurité doivent mesurer ce qu’il change pour le patching et comment obtenir l’accès.
Le 9 septembre 2026, AWS porte le timeout des fonctions Lambda à 90 minutes sur Lambda Managed Instances et y ajoute les instances Graviton5, jusqu’à 25 % plus rapides que Graviton4. Les équipes qui contournaient la limite des 15 minutes ou qui hésitaient entre serverless et EC2 ont désormais une porte de sortie unique.
Le gateway S3 de Versity, un binaire Go stateless sous licence Apache-2.0, expose n’importe quel stockage POSIX derrière l’API S3, sans déployer MinIO ni Ceph. Les auto-hébergeurs qui veulent brancher Restic, rclone ou Velero sur leur NAS y trouvent un pont plus léger qu’un object store complet.
Le 11 septembre 2026, CISA a inscrit au catalogue KEV deux failles JFrog Artifactory : CVE-2026-42016, qui valide la signature d’un jeton sans vérifier sa portée, et CVE-2026-42018, qui fuit un jeton anonyme même quand l’accès anonyme est désactivé. Passez en 7.133.11, révoquez les jetons concernés et auditez l’accès anonyme avant qu’un artefact empoisonné ne parte en production.
Le 18 septembre 2026, CISA a inscrit au catalogue KEV trois vulnérabilités du noyau Linux : une course dans AF_ALG, une écriture hors limites dans ebtables SNAT et un traitement erroné des enregistrements TLS à longueur nulle. Corrigez avant le 21 septembre et vérifiez que votre distribution a rétroporté les trois commits.
Le 15 septembre 2026, nginx a publié les versions 1.31.6 et 1.30.5 pour colmater CVE-2026-90439, un débordement de tas dans le module HTTP/3 qui frappe les déploiements compilés contre OpenSSL 3.5.0 ou antérieur. Mettez à jour nginx et OpenSSL, puis désactivez HTTP/3 sur les bords qui n’en ont pas besoin.
Cilium 1.20, publié le 14 septembre 2026, fait du Gateway API sa couche de routage complète et comble le fossé IPv6 en mode ENI sur AWS. Les équipes qui doivent migrer d’ingress-nginx ou étendre leur CNI y trouveront une raison de franchir le pas.
Le cycle Linux 7.3, dont le rc2 est sorti le 6 septembre 2026 et le rc3 le 13 septembre, se distingue par un durcissement des systèmes de fichiers et du vérificateur BPF, et par une montée en puissance de sched_ext. Les équipes qui maintiendront ce noyau à long terme doivent anticiper les correctifs de sécurité à backporter.
Microsoft a livré le 8 septembre 2026 le plus gros Patch Tuesday de son histoire, avec 973 correctifs et deux failles d’élévation de privilèges déjà exploitées à l’état sauvage. Déployez les correctifs des deux zero-days sous 24 heures, puis traitez les failles critiques d’exécution de code sous sept jours.
