Dernière édition ·
Google Cloud lance un agent Gemini unifié pour les entreprises, Anthropic ouvre un scanner de failles gratuit pour l'open source, et OpenAI déploie Intelligent UI dans ChatGPT. Côté marchés, la Thaïlande finalise ses ETF bitcoin et ether tandis que les ETF spot US enregistrent une forte sortie.
16 actus
Annoncé à Gemini at Work, l'agent planifie des tâches, se connecte aux systèmes internes (Workspace, Microsoft 365, Slack, Jira…) et choisit le modèle adapté, y compris Claude. Déploiement d'abord côté entreprises, avec gouvernance et plafonds de dépense.
Service opt-in : les projets éligibles reçoivent des rapports périodiques générés par les modèles les plus puissants, sans triage humain. Anthropic dit avoir déjà trouvé plus de 29 000 candidats de failles, dont environ 6 000 revus manuellement.
OpenAI déploie des réponses interactives (graphiques, boutons, formulaires, petits outils) : Sol pour les plans payants, Luna pour Free et Go. Le modèle peut commencer à répondre pendant qu'il continue de raisonner.
Vercel prévoit une mise à jour traitant trois failles de dépendances amont (deux critiques, une élevée), dont deux reportées depuis septembre. Les advisories complets sortiront avec le patch.
La version malveillante du SDK TypeScript cherchait des credentials (GitHub, Vault, configs d'outils IA) et pouvait accepter des commandes distantes. Sonatype n'a pas confirmé d'exfiltration, mais recommande d'auditer hôtes et tokens.
Disponible dans le CLI, l'app Copilot et VS Code (Agent Host) : les outils lancés par l'agent ont un accès restreint aux fichiers, au réseau et aux credentials, via MXC, sans surcoût.
La SEC thaïlandaise a publié le cadre (effet au 16 octobre) : ETF passifs cotés uniquement sur le SET, exposition nette d'au moins 80 % à un seul actif, custody agréée, sans marge ni wrappers étrangers pour le retail.
Le 7 octobre, plus grosse sortie journalière depuis fin juin (IBIT −207,7 M$), sur fond de pétrole près de 100 $ et de taux longs élevés. Le bitcoin a touché environ 81 750 $.
Butterfly Effect, maison mère de Manus, annonce sa première levée depuis l'abandon forcé du rachat Meta à 2 Md$. Tour mené par Boyu et IDG, avec Tencent et HSG ; valorisation non publiée.
Le leaderboard de modèles IA (issu de Berkeley) double presque sa valorisation en dix mois. Lightspeed et Khosla mènent la série B, après un ARR annualisé de 100 M$ annoncé en juin.
Tour mené par Conversion Capital, avec des clients comme Pennymac en co-investissement. Total levé : 85 M$. Le CEO affirme un revenu multiplié par 12 en un an.
Citrix a publié le 8 octobre un bulletin critique concernant CVE-2026-107406 (CVSS v4.0 : 9,5). Sur un NetScaler ADC ou Gateway configuré en fournisseur ou consommateur SAML, un débordement mémoire peut permettre l'exécution de code à distance ou un déni de service. Les versions corrigées sont notamment 14.1-73.46 et 13.1-64.29 ; Citrix ne signale pas d'exploitation connue au moment de la publication.
Dans un bulletin publié le 7 octobre, IBM corrige CVE-2026-78406 (CVSS v3.1 : 9,8) dans IBM Security Verify Access (10.0 à 10.0.9.2) et IBM Verify Identity Access (11.0 à 11.0.3), y compris les éditions conteneur. Une désérialisation de données non fiables permet à un attaquant distant non authentifié d'exécuter du code arbitraire. IBM recommande de passer aux versions 10.0.9.3 et 11.0.3.1.
Cisco a publié le 7 octobre un avis critique sur CVE-2026-76471 (CVSS v3.1 : 9,8). Lorsque NX-API est activé sur les commutateurs Nexus 3000 et 9000 en mode autonome, un attaquant non authentifié peut, via une requête HTTP piégée, exécuter du code avec les droits root ou provoquer un redémarrage. La fonction est désactivée par défaut ; Cisco indique ne pas avoir connaissance d'une exploitation et propose un bouclier Live Protect temporaire.
La faille CVE-2021-3199, corrigée dès la version 5.6.3 d'ONLYOFFICE Document Server, permet une traversée de chemin lors d'un téléversement d'image lorsque le JWT est utilisé, pouvant mener à l'exécution de code à distance. La CISA l'a ajoutée le 8 octobre 2026 à son catalogue des vulnérabilités activement exploitées (KEV), avec une échéance fédérale au 11 octobre 2026.
CVE-2015-3306, documentée en mai 2015, concerne le module mod_copy de ProFTPD 1.3.5 : un attaquant distant peut lire et écrire des fichiers arbitraires via les commandes SITE CPFR et SITE CPTO. La CISA l'a ajoutée le 8 octobre 2026 à son catalogue KEV (score CVSS v3.1 CISA-ADP : 10,0), ce qui confirme une exploitation active et impose une remédiation prioritaire sur les instances encore exposées.