Le 10 septembre, AWS a ouvert le code de Pizza Bot, une application qui remplace le chat par une boîte de réception pour suivre les agents IA qui travaillent en arrière-plan. Pour toute équipe qui fait tourner des agents autonomes dans le cloud, la thèse tient en une phrase : l’interface doit supposer que personne ne regarde.
Le 8 septembre, Jellyfin a publié la version 12.0, qui abandonne le préfixe « 10. » et concentre l’essentiel de son travail sur la performance héritée de la réécriture 10.11. La migration change la base de données sans retour en arrière possible : sauvegarde, retrait des plugins et scan complet obligatoire avant de profiter du gain.
Le 10 septembre, OpenAI a porté GPT-Live-1 dans son API : un modèle vocal full-duplex qui tient la conversation et délègue les questions lourdes à un backend de raisonnement. Pour les équipes qui construisent des agents vocaux, le gain est mesurable — moins 80 % de code chez un client — mais il se paie en dépendance à la plateforme.
Le 12 septembre 2026, Debian publie 13.7, la septième mise à jour de trixie, qui regroupe 107 correctifs de sécurité et 106 corrections de paquets. Si vous suivez security.debian.org vous avez déjà l’essentiel — l’enjeu se déplace sur les images d’installation fraîches et le correctif de contournement Secure Boot de QEMU.
Le 11 septembre 2026, GitLab publie une mise à jour hors cycle pour CVE-2026-85706, une traversée de chemin CVSS 10 qui lit des fichiers serveur sans authentification via l’API des commits. La faille est déjà sondée en conditions réelles — corrigez les instances auto-hébergées avant qu’un attaquant ne lise secrets.yml.
Le 10 septembre 2026, CISA inscrit deux failles MikroTik RouterOS — une authentification absente et une injection de commandes — au catalogue KEV après exploitation active. L’enchaînement ouvre une exécution de code à distance sans identifiants, et l’échéance de remédiation fédérale tombe le 13 septembre.
Le résolveur public 1.1.1.1 valide désormais les signatures DNSSEC produites avec ML-DSA-44, l’algorithme post-quantique normalisé par le NIST, dont chaque signature pèse 2 420 octets. C’est le premier test à l’échelle d’Internet du transport de réponses DNS massives et de la parade contre le repli vers des algorithmes fragilisés.
La bibliothèque photo auto-hébergée Immich a publié la 3.2.0 le 10 septembre avec un nouveau Search API v2, une recherche repensée et des « cluster groups » qui partagent la reconnaissance faciale entre utilisateurs de confiance. La fonction impose une réinitialisation de la reconnaissance faciale, à peser avant de migrer.
La version 2.42.1 de Mold, publiée le 11 septembre 2026, est la dernière écrite en C++ : la 3.0 sera réécrite en Rust avec pour objectif affiché de devenir /usr/bin/ld sur la plupart des distributions. Pour qui compile beaucoup, c’est la promesse de liens en quelques centaines de millisecondes au lieu de secondes ou de minutes.
Les ingénieurs de Lambda détaillent comment ils ont remplacé un comptage de paquets à base d’iptables, incapable de passer à l’IPv6, par un pipeline eBPF et Rust qui journalise chaque flux de milliers de microVMs Firecracker par hôte. La leçon dépasse AWS : à densité multi-tenant, la comptabilité réseau doit être quasi gratuite et prouvablement exacte.
Check Point a corrigé le 9 septembre 2026 deux failles CVSS 9.8 dans la validation et le décodage de ses certificats VPN, exploitables sans authentification pour exécuter du code à distance. Le NCSC néerlandais juge l’exploitation imminente : appliquez le Live Patch ou le Jumbo Hotfix sans attendre.
OpenAI a ouvert en bêta publique le 10 septembre 2026 une API Agents qui vend le backend de Codex comme service, pour faire tourner des agents sans surveillance pendant des jours. Le même jour, l’éditeur gelait les inscriptions à son plan Pro face à la demande de GPT-6 Astra : le goulot d’étranglement se déplace des modèles vers l’infrastructure.
