Le 26 août 2026, le groupe de ransomware AiLock a inscrit Hamilton Company, spécialiste américain de la robotique de laboratoire, sur son site de fuite, menaçant de publier les données faute de négociation. Le détail qui distingue AiLock : sa double extorsion menace de signaler la brèche aux régulateurs et de partager les données avec les concurrents — une pression qui change le calcul des victimes.

Le 26 août 2026, GitLab publie un correctif pour CVE-2026-18252, une faille de l’agent IA Duo Claude qui permet à un développeur authentifié d’exécuter des commandes arbitraires dans un contexte CI via une configuration contrôlée par l’utilisateur. La leçon dépasse GitLab : un agent d’IA branché sur le CI est une nouvelle surface d’exécution, et la configuration qu’il consomme fait désormais partie de la frontière de sécurité.

Le ministère américain de la Justice et le FBI ont annoncé le démantèlement d’un réseau de routeurs SOHO compromis par le GRU, qui détournait les requêtes DNS pour intercepter identifiants et courriels chiffrés. La leçon tient en une phrase : le routeur domestique est devenu le point d’interception privilégié des services de renseignement, et il se protège comme une surface d’attaque.

Le rapport d’été 2026 de Hugging Face montre que l’attention médiatique et l’adoption réelle des modèles ouverts ne se recoupent presque plus, et que les laboratoires chinois dominent la frontière par la taille. Les petits modèles et Qwen restent la couche pratique, tandis que les agents deviennent le premier utilisateur du Hub.

Kubernetes 1.37 atteint la disponibilité générale le 26 août 2026 avec seize fonctionnalités promues en stable, dont SELinuxMount activé par défaut. Trois changements cassants, la dépréciation d’IPVS, la fin des références aux secrets dans les pods statiques et le durcissement de cgroup v2, exigent un audit avant mise à niveau.

Deux failles d’authentification dans le plugin miniOrange SAML 2.0 Single Sign On pour WordPress, exploitées depuis la mi-août 2026, permettent de devenir administrateur sans identifiant. Les six éditions payantes n’ayant jamais fait l’objet d’un avis public, aucun scanner de vulnérabilités ne pouvait les détecter.

AWS Lambda lance le 25 août 2026 des runtimes managés en préversion publique, une première pour la plateforme, avec Node.js 26 et Python 3.15. Ce canal de test sans SLA ni garantie anti-changement cassant doit servir à valider la migration avant la fin de support des runtimes actuels.

Cloudflare publie le 5 août 2026 Cloudflare OS, sa plateforme interne d’agents IA, sous licence Apache-2.0 et auto-hébergeable sur workerd avec des LLM locaux via Ollama. Le modèle de sécurité — agents à accès initial nul et Gatekeepers par ressource — est la vraie nouveauté, mais le runtime exige un plan Workers payant.

La première release candidate de X.Org Server 26.1, publiée le 19 août 2026, succède à la série 21.1 avec le refus des clients byte-swapped et la coupure du serveur de polices par défaut. Les mainteneurs de distributions et les parcs X11 historiques doivent auditer ces nouveaux défauts avant la version stable.

CVE-2026-60004, une injection de code critique dans Gitea, est exploitée dans la nature depuis le 25 août 2026 : un attaquant peut exécuter des commandes comme l’utilisateur système de la forge. Les instances auto-hébergées avec inscription ouverte sont les premières visées ; la correction tient en une mise à jour et une désactivation.

Entre le 17 juin et le 22 juillet 2026, un seul opérateur a compromis plus de 14 530 caméras Dahua en combinant force brute, une faille de 2021 et le relais P2P du constructeur — dont 89 % sans authentification. L’enquête de Hunt.io révèle une vérité dure : la vidéosurveillance connectée est une porte ouverte par conception.

Le 26 août 2026, le ministère américain de la Justice et le FBI ont saisi les domaines de QScan et QTRouter, deux plateformes du groupe chinois QTFY qui masquaient l’origine des intrusions contre les infrastructures critiques américaines. La leçon dépasse l’actualité : l’obfuscation réseau est devenue un service industrialisé, et elle se coupe là où l’attaquant a le moins de redondance.