Le 24 septembre 2026, Cloudflare a révélé qu’un réglage de thin provisioning dans Cloudflare Containers permettait à un client de lire les données qu’un autre client avait laissées sur le même serveur. Les clients n’ont rien à faire, mais la faille rappelle que l’isolation multi-locataire, promise par le cloud, tient parfois à un paramètre par défaut.
Le résolveur public 1.1.1.1 valide désormais les signatures DNSSEC produites avec ML-DSA-44, l’algorithme post-quantique normalisé par le NIST, dont chaque signature pèse 2 420 octets. C’est le premier test à l’échelle d’Internet du transport de réponses DNS massives et de la parade contre le repli vers des algorithmes fragilisés.
Le 31 août 2026, entre 07 h 35 et 21 h 45 UTC, un acteur a compromis une clé API Cloudflare de Coder et redirigé une partie du trafic du registre de modules vers un serveur malveillant qui exfiltre les identifiants cloud. Vérifiez vos journaux pour coder-infra[.]com et révoquez les secrets concernés.
Le 1er juillet 2026, Cloudflare a remplacé son interrupteur « bloquer les bots IA » par trois classes distinctes — Search, Agent et Training. Le 15 septembre 2026, Training et Agent seront bloqués par défaut sur les pages à publicité : vérifiez vos réglages avant cette date.
Fin août 2026, Cloudflare a publié EmDash, un CMS en TypeScript présenté comme le successeur spirituel de WordPress, et y a migré son propre blog. L’idée maîtresse tient en un mécanisme, isoler chaque plugin dans un sandbox avec des permissions déclarées, là où 96 % des failles WordPress viennent des plugins.
Le 1er septembre 2026, Cloudflare détaille Cache Transcoding, un prototype qui compresse les actifs éligibles en Zstandard directement dans Pingora. L’encodage réduit la taille sur disque au tiers environ, contre quelques points de CPU, et diminue la bande passante entre datacenters.
Entre le 7 et le 14 août 2026, Cloudflare a consigné treize incidents distincts en huit jours, touchant R2, Workers KV, Durable Objects et le trafic régional sur quatre continents. La leçon n’est pas de fuir l’edge, mais d’instrumenter le chemin entre l’origine et l’utilisateur — là où les pannes échappent à votre monitoring.
Le rapport DDoS H1 2026 de Cloudflare documente une explosion des attaques hyper-volumétriques et des vecteurs par réflexion DNS et CLDAP. Les attaques durent quelques secondes, ce qui rend toute mitigation manuelle structurellement hors jeu.
Cloudflare dévoile Kitesurf, un navigateur headless bâti en Rust pour les agents IA, 3 à 7 fois plus économe en CPU et mémoire que Chromium. Les équipes DevOps qui hébergent des agents autonomes doivent l’évaluer avant la sortie de bêta.
Le 5 août 2026, Cloudflare publie en open source Cloudflare OS, une plateforme qui donne à chaque employé un agent IA connecté aux systèmes internes, avec un cadre de gouvernance qui suit ce que l’agent a lu.
Cloudflare absorbe 500 Tbps de trafic réseau et OVHcloud protège tous ses serveurs contre des attaques jusqu’à 1,3 Tbit/s sans surcoût. Comprendre la différence entre une amplification DNS et un Slowloris change tout dans le choix de votre protection.
Le NIST a publié le standard SP 800-207 en août 2020, l’administration Biden a imposé le Zero Trust à toutes les agences fédérales américaines en janvier 2022, et Google fait tourner BeyondCorp en interne depuis 2011 sans VPN. Si votre sécurité réseau repose encore sur l’idée qu’un paquet est propre parce qu’il arrive du LAN, vous avez déjà perdu.
