Concerne les équipes plateforme et fiabilité : infrastructure et exploitation.
2 novembre 2026 · L'edge d'Azure s'effondre, et un braquage crypto recordLe 29 octobre, une config de tenant invalide propagée mondialement sur Azure Front Door a écrasé le dernier instantané sain connu et fait planter le data plane malgré les contrôles de santé. Microsoft a gelé les changements de config clients, mené une reprise d'environ 4,5 heures, puis prolongé le gel jusqu'au 5 novembre. Outlook, Teams, Intune, Power Apps et sites tiers : échecs DNS, timeouts, erreurs 5xx. Deuxième incident Front Door du mois.
2 novembre 2026 · L'edge d'Azure s'effondre, et un braquage crypto recordLe 29 octobre, la CISA a inscrit au KEV une RCE par dépassement d'entier dans GitLab CE/EE (CVE-2026-97229, CVSS 10.0) et un déni de service dans Cisco Secure Firewall ASA/FTD (CVE-2026-76418, CVSS 8.6), échéance fédérale au 1er novembre. Le lendemain, deux failles Ivanti Connect Secure chaînées avec un contournement d'authentification antérieur jusqu'à un accès root non authentifié. Volexity signale une exploitation active ; correctifs dans ICS 25.1.1.3 et 22.8R2.6.
2 novembre 2026 · L'edge d'Azure s'effondre, et un braquage crypto recordBinance a révélé un incident touchant environ 6,3 milliards de dollars d'actifs, dont près de 3 milliards gelés on-chain par Tether, Circle et Arbitrum. Le 1er novembre, le FBI a attribué le vol au groupe nord-coréen TraderTraitor (suivi Jade Sleet, UNC4899). Les attaquants ont compromis le portable d'un ingénieur DevOps, atteint un conteneur de service, pré-signé des retraits consécutifs et déplacé les fonds en 20 minutes environ.
2 novembre 2026 · L'edge d'Azure s'effondre, et un braquage crypto recordCloudflare a détaillé huit certificats d'AC intermédiaires eMudhra dont les clés privées étaient de petits entiers (4, 56, 66 et autres), permettant de retrouver la clé de signature et de forger un certificat pour tout domaine. Ces intermédiaires chaînent à des racines de confiance Mozilla, Microsoft, Apple et Chrome. Environ 22 000 tentatives de handshake avec les clés faibles, et un certificat contrefait moins d'une heure après le rapport. Une semaine après, plus de la moitié des sondes l'acceptaient.
2 novembre 2026 · L'edge d'Azure s'effondre, et un braquage crypto recordUne copie altérée de l'extension Claude Code d'Anthropic (version 2.1.313), publiée sur la marketplace Cursor, est restée en ligne environ 11 heures le 29 octobre, touchant jusqu'à 5 000 développeurs. Elle collectait nom d'utilisateur, e-mail Git et IP publique, et tentait un tunnel SSH inverse et une persistance sous Windows, macOS et Linux. Anthropic dit qu'un acteur malveillant a publié via un accès marketplace une copie non produite par elle.
2 novembre 2026 · L'edge d'Azure s'effondre, et un braquage crypto recordL'hébergeur Northflank a révélé le 30 octobre une brèche : variables d'environnement stockées déchiffrées, clés d'API d'IA de clients volées et détournées. Il a demandé de considérer toutes ces variables comme compromises et de faire tourner chaque clé, mot de passe de base de données, jeton et secret. L'incident suit des brèches Railway dans le mois.
2 novembre 2026 · L'edge d'Azure s'effondre, et un braquage crypto recordUn use-after-free dans le chemin TCP IPv4 du noyau, affectant les listeners multipath TCP, porte CVE-2026-98432 et CVSS 9.8 (équipe CVE du noyau). Huit noyaux stables sont sortis vers le 30 octobre avec le correctif. Anthropic a rapporté qu'un modèle d'IA a écrit un exploit pour la condition.
2 novembre 2026 · L'edge d'Azure s'effondre, et un braquage crypto recordCloudflare a atténué 18,2 millions d'attaques DDoS réseau au T3, +38 pour cent sur un an, et bloqué 14,4 billions de requêtes HTTP DDoS. Les salves sous 10 minutes et 1 Gbps ont bondi de 208 pour cent, attribuées aux booters et stressers à louer.
2 novembre 2026 · L'edge d'Azure s'effondre, et un braquage crypto recordSelon le PDG d'Amazon Andy Jassy (via InfoQ), la capacité engagée d'AWS est en grande partie vendue jusqu'en 2027, une partie de 2028 déjà allouée, AWS gardant une marge pour l'On-Demand, EC2 et Bedrock. Des praticiens peinent à obtenir du On-Demand dans certaines régions.
2 novembre 2026 · L'edge d'Azure s'effondre, et un braquage crypto recordGitHub a lancé en préversion un pare-feu de paquets npm qui inspecte les téléchargements à l'installation et bloque les paquets suspects avant installation, la même semaine que les incidents Northflank et Claude Code.
2 novembre 2026 · L'edge d'Azure s'effondre, et un braquage crypto recordUn essai de SigNoz, soutenant que l'outillage IA érode la profondeur de compétence des SRE, a recueilli 677 points et environ 500 commentaires le 30 octobre. Paru avec un article de Pragmatic Engineer demandant si une IA SRE a été d'astreinte.
26 octobre 2026 · Le correctif d'urgence de PHP et une autorite de certification compromisePHP a publie des correctifs le 21 octobre pour CVE-2026-109618 et CVE-2026-109619, deux RCE non authentifiees notees CVSS 9.2. Risque maximal sur mod_php, ou une requete non authentifiee declenche la faille avant tout code applicatif. Versions corrigees : 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Krebs signale des exploits actifs.
26 octobre 2026 · Le correctif d'urgence de PHP et une autorite de certification compromiseCloudflare a decouvert huit certificats d'AC intermediaires eMudhra aux cles privees catastrophiquement faibles : quiconque pouvait retrouver la cle de signature et forger un certificat pour n'importe quel domaine. Ces intermediaires remontent a des racines de confiance Mozilla, Microsoft, Apple et Chrome. Cloudflare a attenue les 19 et 20 octobre ; eMudhra quittera le marche mondial du TLS.
26 octobre 2026 · Le correctif d'urgence de PHP et une autorite de certification compromiseUn LiteLLM 1.107.0 malveillant a ete publie sur PyPI le 21 octobre : voleur d'identifiants et porte derobee persistante pilotee via GitHub. Avec des identifiants GitHub CLI voles, les attaquants ont contourne la protection de branche et compile depuis un depot sosie, avant retrait par PyPI. Le meme jour, Railway a divulgue un acces non autorise a des systemes contenant des variables d'environnement clients, certaines dechiffrees ; faites tout tourner.
26 octobre 2026 · Le correctif d'urgence de PHP et une autorite de certification compromiseCVE-2026-88771 est une execution de commandes a distance non authentifiee dans NetScaler Gateway, exploitable en configuration par defaut, son exploitation active confirmee par la CISA et Mandiant. Cloudflare recommande authentification et WAF devant l'appliance, les correctifs etant en retard.
26 octobre 2026 · Le correctif d'urgence de PHP et une autorite de certification compromiseLinux 7.3 est sorti le 18 octobre avec 18 765 commits de 3 021 developpeurs. Ajouts notables : un systeme de fichiers failfs, un appel systeme fchroot(), le suivi du working-set des VM et d'importants travaux sur le serveur SMB.
26 octobre 2026 · Le correctif d'urgence de PHP et une autorite de certification compromiseQuad9 a annonce le 22 octobre qu'il cesserait de servir les utilisateurs francais le 24 novembre plutot que de bloquer, sur decision de justice, la resolution DNS de domaines pretendument contrefaisants. Il juge un blocage geographique techniquement irrealisable sans imposer le droit francais au monde entier.
26 octobre 2026 · Le correctif d'urgence de PHP et une autorite de certification compromiseAWS a annonce le 22 octobre la disponibilite generale de son service qui detecte, valide et priorise les vulnerabilites de code et livre les correctifs en pull requests, cense remplacer plusieurs heures d'investigation manuelle.
26 octobre 2026 · Le correctif d'urgence de PHP et une autorite de certification compromiseDans un billet du 21 octobre, GitHub decrit la migration vers Azure d'une copie de 99,99999 pour cent de ses depots et explique comment des quorums par reference et le stockage objet migreront le reste, pour que les lectures montent en charge independamment face a la charge agentique.
26 octobre 2026 · Le correctif d'urgence de PHP et une autorite de certification compromiseLe billet d'un mainteneur annoncant avoir archive tous ses depots de gems Ruby a recueilli environ 526 points et 514 commentaires sur Hacker News autour du 19 octobre, ravivant les inquietudes sur la perennite de l'open source.
19 octobre 2026 · Le plus gros Patch Tuesday de l'histoire, et des frigos qui prennent feuLe 13 octobre, Microsoft a corrigé plus de 1 400 vulnérabilités, dix fois un mois normal, dont au moins 78 critiques. CVE-2026-96951, contournement du Windows Shell (Windows 10, 11, certaines versions de Server), est exploité. CVE-2026-108398, contournement de .NET Framework, a été divulgué avant correctif mais pas exploité.
19 octobre 2026 · Le plus gros Patch Tuesday de l'histoire, et des frigos qui prennent feuLa nuit du 11 octobre, des attaquants ont mis en dégivrage les automates de réfrigération de jusqu'à 700 supermarchés français. Certaines unités ont dépassé 50 degrés Celsius : équipements fondus, incendies, dégâts des eaux des sprinklers ; d'autres magasins en Europe ont subi des incidents similaires. Aucune revendication.
19 octobre 2026 · Le plus gros Patch Tuesday de l'histoire, et des frigos qui prennent feuOpenCode a révélé la compromission d'un système hérité en démantèlement, exposant les clés d'API tierces OpenAI, Anthropic et Google stockées par les utilisateurs dans OpenCode Console. Environ 1,4 pour cent des utilisateurs de Console sont touchés ; Anthropic a révoqué les clés Claude concernées. Le CLI open source n'était pas compromis.
19 octobre 2026 · Le plus gros Patch Tuesday de l'histoire, et des frigos qui prennent feuAnthropic a quitté Git, les fusions passant de 2 500 à 30 000 changements quotidiens de mai à septembre, sur un monorepo de 100 Go d'historique à CI coûteuse. Son remplaçant Scion, centré serveur avec récupération à la demande, réduit l'infrastructure et accélère les checkouts. 900 points et plus de 1 000 commentaires sur Hacker News.
19 octobre 2026 · Le plus gros Patch Tuesday de l'histoire, et des frigos qui prennent feuCitizen Lab a documenté la première diffusion publiquement confirmée de spyware mercenaire zero-click via des publicités ciblées. Un panneau ciblait par identifiant publicitaire mobile, cookie ou IP, et un serveur renvoyait du JavaScript malveillant infectant les appareils choisis avec le spyware Candiru. Elles ont atteint près de 200 000 applications et sites.
19 octobre 2026 · Le plus gros Patch Tuesday de l'histoire, et des frigos qui prennent feuAnnoncées le 12 octobre, les Lambda Web Functions font tourner des applications web HTTP standard sur Lambda sans réécriture en gestionnaires d'événements, avec jusqu'à 128 requêtes concurrentes par instance et une facturation au temps CPU actif plus mémoire. Frameworks : Express, Hono, Fastify, Next.js sur Node.js 24.
19 octobre 2026 · Le plus gros Patch Tuesday de l'histoire, et des frigos qui prennent feuLe rapport de disponibilité de GitHub décrit deux incidents. Le 13 septembre, une tâche de nettoyage a saturé une base de données partagée, faisant échouer la plupart des requêtes de création de tickets et d'inscription pendant une heure et demie. Le 28 septembre, des résultats incomplets du Copilot de revue ont bloqué la publication des revues.
19 octobre 2026 · Le plus gros Patch Tuesday de l'histoire, et des frigos qui prennent feuUn ticket GitHub ouvert le 12 octobre signale que le Codex CLI installe par défaut un démon d'arrière-plan persistant et auto-actualisé, soulevant des inquiétudes sur le consentement, la mise à jour automatique et un processus toujours actif.
19 octobre 2026 · Le plus gros Patch Tuesday de l'histoire, et des frigos qui prennent feuUn article de CSO Online soutenant que des incidents récents présentés comme des agents incontrôlables découlent en réalité de l'impasse sur des pratiques de confinement et de surveillance vieilles de plusieurs décennies a recueilli 952 points et 630 commentaires le 14 octobre.
19 octobre 2026 · Le plus gros Patch Tuesday de l'histoire, et des frigos qui prennent feuLe récit d'un administrateur système dont le registrar a saisi et désactivé tous ses domaines a recueilli 695 points et 366 commentaires le 18 octobre, suscitant une discussion sur la concentration des registrars et l'absence de recours. L'affirmation repose sur un seul témoignage d'utilisateur.
12 octobre 2026 · Le registre de population danois compromis, Uber condamné à 825 millionsLes autorités danoises ont révélé que des attaquants avaient détourné l'accès légitime d'une entreprise privée au registre central des personnes (CPR), lançant environ 14 millions de recherches automatisées en septembre avant détection début octobre. Exposés : noms, adresses et numéros CPR d'environ 8,8 millions de personnes, soit 80 pour cent du registre. L'accès venait, selon une partie revendiquant l'attaque, d'un compte de société informatique sous le mot de passe 123456.
12 octobre 2026 · Le registre de population danois compromis, Uber condamné à 825 millionsCloudflare a annoncé le 9 octobre le rachat de Deno, équipe et runtime open source compris. Le runtime garde un an de corrections et de mises à jour de sécurité ; Deno Deploy ferme dans six mois, utilisateurs payants migrés vers Cloudflare Workers ; JSR reste en service. Termes non divulgués.
12 octobre 2026 · Le registre de population danois compromis, Uber condamné à 825 millionsUn chercheur a publié la CVE-2026-107181, faille d'injection IPC dans Telegram Desktop jusqu'à la version 7.2.8, combinée à un schéma d'URI non autorisé permettant lecture et exfiltration arbitraires de fichiers locaux, d'où une prise de contrôle de compte au clic sur un lien malveillant. Notée CVSS 8.1, corrigée en 7.2.9.
12 octobre 2026 · Le registre de population danois compromis, Uber condamné à 825 millionsKrebs rapporte qu'avant les récentes arrestations, ShinyHunters avait rançonné Jeppesen ForeFlight, ancienne filiale de Boeing. Des articles connexes le relient à l'exploitation massive de la CVE-2026-35273, vulnérabilité PeopleSoft et Oracle, dès juin, les contournements pare-feu publiés étant déjoués par l'encodage d'URL.
12 octobre 2026 · Le registre de population danois compromis, Uber condamné à 825 millionsPolars 2.0 est sorti le 6 octobre : déchargement sur disque initial, streaming par défaut au collect, SQL étendu, MapType Arrow natif. Changement cassant : le moteur de streaming ne garantit plus l'ordre des lignes par défaut pour join, group_by et unpivot ; utilisez maintain_order là où l'ordre compte.
12 octobre 2026 · Le registre de population danois compromis, Uber condamné à 825 millionsLe centre de données Yandex de la région russe de Vladimir a été arrêté le 11 octobre après une attaque de drone signalée et un incendie, coupant plus de 80 services Yandex Cloud. Troisième centre Yandex touché en quatre jours.
12 octobre 2026 · Le registre de population danois compromis, Uber condamné à 825 millionsOxide Computer a annoncé une série D de 445 millions de dollars menée par Eclipse, à une valorisation rapportée proche de 6 milliards, portant le total à environ 835 millions. Oxide aurait atteint la rentabilité cette année, demande dépassant la production.
12 octobre 2026 · Le registre de population danois compromis, Uber condamné à 825 millionsL'autorité suédoise de protection des données a infligé à Miljödata environ 160 000 euros au titre de l'article 32 du RGPD pour sécurité technique et organisationnelle insuffisante, notamment l'absence de surveillance automatisée en temps réel des intrusions et anomalies. Environ 2,2 millions de personnes concernées.
12 octobre 2026 · Le registre de population danois compromis, Uber condamné à 825 millionsLe blog Kubernetes a publié deux billets opérationnels : le passage à cgroup v2 alors que cgroup v1 entre en maintenance, et la mise à l'échelle via le swap des nœuds pour les charges d'IA agentique gourmandes en mémoire.
5 octobre 2026 · Trois failles de bordure exploitées, et un plantage que la page de statut n'a pas vuLa CISA a ajouté trois failles exploitées à son catalogue KEV. CVE-2026-86950 : écriture hors limites dans CoreGraphics d'Apple (CVSS 8.8), corrigée dans iOS et macOS, déclenchée par un fichier malveillant. CVE-2026-76504 : contournement d'authentification critique dans Cisco Catalyst SD-WAN Manager (CVSS 9.8), sans contournement. CVE-2026-104286 : traversée de répertoire dans Fortinet FortiMail (CVSS 9.8), écriture non authentifiée.
5 octobre 2026 · Trois failles de bordure exploitées, et un plantage que la page de statut n'a pas vuLe 28 septembre, un nettoyage de configuration Firebase de routine a poussé une charge utile que le SDK iOS Google Analytics for Firebase n'a pas su valider, faisant planter au lancement les applications l'utilisant. Selon le post-mortem, les plantages par application ont duré de deux à six heures. Les tableaux de bord de statut Firebase sont restés au vert : ils suivent la santé serveur, pas le SDK client. Google s'est engagé à y représenter ces pannes.
5 octobre 2026 · Trois failles de bordure exploitées, et un plantage que la page de statut n'a pas vuDebian a publié DSA-6528-1 le 29 septembre, corrigeant un lot exceptionnellement volumineux de CVE du noyau Linux pouvant mener à une élévation de privilèges, un déni de service ou des fuites d'informations. Debian stable est corrigé dans le noyau 6.12.111-1 ; l'avis a alimenté un fil très lu sur Hacker News.
5 octobre 2026 · Trois failles de bordure exploitées, et un plantage que la page de statut n'a pas vuAWS a annoncé qu'Amazon Aurora PostgreSQL peut interroger directement des données Apache Iceberg et Parquet d'un data lake aux côtés des données opérationnelles en temps réel, sans ETL, via un moteur DuckDB embarqué joignant en une requête données transactionnelles et historiques.
5 octobre 2026 · Trois failles de bordure exploitées, et un plantage que la page de statut n'a pas vuAWS a annoncé la préversion publique d'un Well-Architected Agent qui analyse un environnement AWS et renvoie des recommandations sur coût, sécurité, performance et résilience, correctifs suggérés.
5 octobre 2026 · Trois failles de bordure exploitées, et un plantage que la page de statut n'a pas vuUn billet de GitButler soutenant que le passage prévu de Git 3.0 à SHA-256 par défaut casserait les références SHA-1 existantes pour un bénéfice limité a recueilli 583 points et plus de 500 commentaires le 1er octobre.
5 octobre 2026 · Trois failles de bordure exploitées, et un plantage que la page de statut n'a pas vuSimon Willison a soutenu que l'outillage d'IA agentique a besoin de plafonds de budget stricts par défaut contre les dépenses incontrôlées, recueillant 652 points et 313 commentaires le 3 octobre.
