Le 24 septembre 2026, GitHub Security Lab a publié un pipeline de fuzzing autonome qui écrit ses harnais, lit sa couverture et rédige ses rapports de vulnérabilité. Le goulot du fuzzing — l’attention humaine — est délégué à un LLM, mais le code s’exécute sans conteneur sur l’hôte.

Le 21 septembre 2026, Jeff Geerling a documenté un verrou de firmware, introduit fin 2024, qui empêche de remplacer les puces RAM d’un Raspberry Pi 5. La mesure vise des revendeurs qui trafiquent des cartes d’entrée de gamme, mais elle supprime aussi le droit de réparer et de faire évoluer son matériel.

La version 4.25.0 de Samba, publiée le 24 septembre 2026, embarque à titre expérimental les poignées persistantes SMB3, brique de base de la bascule transparente. Le gain — des fichiers qui restent ouverts après une panne — se paie d’un surcoût de stockage et d’un partage réservé au seul protocole SMB.

Le 24 septembre 2026, Aikido a révélé que les adresses « Email work item to this project » de GitLab, générées avec un jeton longue durée et publiées par erreur dans des README, laissent un attaquant créer des merge requests ou pousser du code à la place du titulaire. Cherchez ces adresses dans vos dépôts et réinitialisez les jetons exposés.

Le 24 septembre 2026, Manifold Security a révélé que third-party.com, un domaine de documentation utilisé comme exemple depuis des années, a été enregistré par un tiers et sert maintenant un leurre ClickFix aux navigateurs Windows. Auditez vos dépôts et ne laissez plus qu’un domaine non réservé fasse office d’exemple.

Le 25 septembre 2026, BleepingComputer a confirmé que le gang ShinyHunters a compromis le site de fuite du ransomware Clop en exploitant CVE-2026-42608, une traversée de chemin non authentifiée de Grav corrigée en avril mais jamais rétroportée sur la branche 1.7. Si vous tournez encore sous Grav 1.7, passez en 1.7.53.4 sans attendre.

Le 22 septembre 2026, Amazon CloudWatch a lancé Omni, une expérience d’observabilité unifiée pour les applications et les agents IA, livrée dans VS Code, Kiro et une console web autonome. Adoptez-la pour tracer, comparer et évaluer vos agents avant qu’une régression de prompt ne dégrade vos réponses en production.

Le 18 septembre 2026, la communauté self-hosted a identifié le développeur de BookOrbit — une bibliothèque numérique auto-hébergée à 4 600 étoiles — comme celui de Booklore, un projet jumeau disparu après des signalements de qualité de code, de traitement des contributeurs et d’abus de licence. Avant de déployer une application que vous hébergez vous-même, vérifiez la continuité de l’auteur, la licence et l’historique de la communauté.

Le 22 septembre 2026, Hugging Face a ajouté à Transformers la prise en charge native des modèles GGUF, le format quantifié de llama.cpp qui alimente Ollama, LM Studio et Jan. Si vous faites tourner des modèles locaux sur Apple Silicon en Python, adoptez `from_pretrained` avec un fichier GGUF et oubliez les conversions maison.

Le 16 septembre 2026, CISA a inscrit au KEV une escalade de privilèges locale (CVE-2026-87886) causée par des permissions par défaut trop larges dans les plugins de sauvegarde Acronis pour cPanel & WHM, Plesk et DirectAdmin. Mettez à jour vers les builds corrigés, l’échéance fédérale du 19 septembre étant déjà dépassée.

Le 22 septembre 2026, CISA a inscrit au catalogue KEV une faille d’input validation notée CVSS 10 dans l’orchestrateur VeloCloud on-prem d’Arista, exploitable sans identifiant. Restreignez l’accès réseau à l’interface web du VCO et appliquez le correctif avant le 25 septembre.

Le 24 septembre 2026, Greg Kroah-Hartman a intégré à driver-core-next un nouveau flag de taint, TAINT_FORCED_BIND, qui marque les noyaux dont les fichiers sysfs bind/unbind ont été manipulés. Il cible les bots de fuzzing comme syzbot qui lient arbitrairement des pilotes à des périphériques et noient les mainteneurs sous des rapports de bugs sans intérêt.