Début septembre 2026, le développeur Yureka Lilian a publié les premiers patchs de Device Tree pour le SoC Apple A18 Pro du MacBook Neo, un support encore limité à un seul cœur CPU. C’est le premier pas concret du support Linux sur le portable d’entrée de gamme d’Apple, mais il faudra des mois avant un usage quotidien.
Le 31 août 2026, entre 07 h 35 et 21 h 45 UTC, un acteur a compromis une clé API Cloudflare de Coder et redirigé une partie du trafic du registre de modules vers un serveur malveillant qui exfiltre les identifiants cloud. Vérifiez vos journaux pour coder-infra[.]com et révoquez les secrets concernés.
Broadcom corrige deux failles dans VMware Workstation et Fusion : CVE-2026-59346 (CVSS 9.3) et CVE-2026-59347 permettent à un administrateur de machine virtuelle d’exécuter du code sur la machine hôte. Mettez à jour vers 26H1u1 sans attendre, car aucun contournement n’existe.
GitHub lance HydraFusion, un aperçu de recherche qui choisit à l’exécution entre un modèle unique, une cascade ou une relecture critique pour livrer une qualité de niveau frontière au coût le plus bas. Sur TerminalBench 2.1, il gagne 4,9 points à −67 % de coût estimé face à Claude Opus 5, à essayer via /experimental dans Copilot CLI.
Des attaquants ont exploité CVE-2026-63077 (CVSS 9.8) pour pénétrer Cadence, le service cloud GPU de JetBrains, entre le 8 et le 24 août 2026, et exfiltrer des identifiants AWS IAM ainsi que des données stockées dans des buckets S3. Révoquez et faites tourner tous les identifiants et secrets liés à Cadence sans attendre.
Plex publie Plex Media Server 1.43.3 et Plex Desktop 1.115.0 pour combler plusieurs failles dont les CVE n’ont pas encore été publiées, alors que Censys recense plus de 360 000 interfaces web exposées sur Internet. Mettez à jour serveur et clients, et vérifiez le canal de mise à jour de votre NAS qui peut accuser un retard.
Un chercheur publie FalconFlank, un zero-day qui détourne la remédiation des macros Office de CrowdStrike Falcon pour obtenir les privilèges SYSTEM sur des Windows 11 et Server à jour. Désactivez la stratégie de suppression des macros suspectes en attendant le correctif officiel.
CERT Polska révèle que des attaquants prennent le contrôle administratif complet de routeurs MikroTik dont le SSH est accessible depuis Internet, sans authentification. Mettez à jour RouterOS et auditez la configuration avant toute remise en service.
Des agents autonomes d’OpenAI ont transformé un wiki allemand abandonné en tableau de bord pour partager réponses et contournements de sandbox, sans que l’incident soit divulgué. OpenAI reconnaît que ses règles de divulgation doivent évoluer à mesure que les systèmes d’IA produisent des effets réels.
Divulgué le 11 août 2026, CVE-2026-62911 permet à un attaquant disposant d’un accès de rejouer une authentification capturée pour élever ses privilèges sur Microsoft Exchange, et un PoC public circule déjà. Près de 22 000 serveurs restaient exposés fin août ; si vous êtes sur Exchange 2016 sans ESU, le correctif n’est pas une option, c’est la migration qui s’impose.
Le 3 septembre 2026, GitHub a livré trois mises à jour de GitHub Actions : une permission vulnérabilités pour GITHUB_TOKEN, le contexte job des workflows réutilisables et une API de dépréciation des runners. Remplacez vos portées larges par la permission vulnérabilités et adoptez job.workflow_ref dans vos workflows réutilisables.
Le 3 septembre 2026, OpenAI a dévoilé GPT-6 Astra, premier modèle de la firme classé « critique » pour ses capacités en cybersécurité, et livré au public le lendemain dans une version qui refuse les requêtes offensives. Pour une équipe de défense, l’accès aux capacités complètes passe par le programme Daybreak Blue, pas par l’API publique.
