Dernière édition ·
Google lance Gemini 4 Argon avec un prix d'appel agressif, et OpenAI programme le retrait de GPT-4o de son API. Côté sécurité, une zero-day Ivanti et un Patch Tuesday record chez Microsoft marquent la journée, tandis que Ledger confirme un implant espion dans des appareils vendus par un revendeur. En affaires, Bumble va quitter la Bourse pour 1,3 Md$.
20 actus
Gemini 4 Argon est disponible via l'API Gemini payante, AI Studio, Google Cloud et Antigravity, ainsi que dans l'app Gemini pour les abonnés Pro et Ultra. Le prix d'appel est de 2 $ par million de tokens en entrée et 10 $ en sortie jusqu'au 30 novembre, puis de 4 $ et 20 $.
Les snapshots GPT-4o, GPT-4o mini, GPT-4.1 et GPT-4.1 mini, ainsi que leurs versions fine-tunées, seront supprimés de l'API le 14 janvier 2027. OpenAI recommande de migrer vers gpt-6-luna.
Ce modèle de raisonnement compte 24 milliards de paramètres, dont 2 milliards actifs par token, et un contexte de 131 000 tokens. Liquid AI annonce 184 tokens/s sur un Apple M5 Max et un support dès la sortie de llama.cpp, MLX, vLLM et SGLang.
Le framework full-stack pour React et Solid (routage typé, SSR, streaming, server functions) sort de sa phase RC avec @tanstack/react-start 1.169. Il exige Vite 8 et supprime quelques API dépréciées.
La CVE-2026-104935 permet d'exécuter des commandes à distance sans authentification et sert à voler des identifiants et des données. La CISA l'a ajoutée à son catalogue KEV et appelle à mettre à jour immédiatement, en précisant que l'outil d'intégrité d'Ivanti peut ne pas détecter la compromission.
La mise à jour corrige 70 failles critiques et une zero-day activement exploitée dans Windows Shell (CVE-2026-96951), qui contourne le Mark of the Web. Microsoft introduit aussi des « risk cohorts » pour aider à prioriser les correctifs.
Les attaquants ont surtout emporté du code source, qui représente 99 % des données volées, ainsi que des données personnelles d'environ 1 500 personnes, en majorité des salariés de Meta basés aux États-Unis.
Selon Ledger, l'implant trouvé dans des appareils vendus par CryptoBilis lit la phrase de récupération pendant la configuration et l'envoie par LTE, sans toucher au Secure Element. MediaMarkt Saturn a retiré les produits Ledger de ses magasins et de son site après le signalement d'un appareil trafiqué en Allemagne.
Lors des résultats du troisième trimestre, le CEO Charlie Scharf a jugé « peu clairs » les usages des stablecoins aux États-Unis. Il a confirmé que la banque crée, avec 20 autres institutions, une société qui doit émettre des stablecoins à partir du premier semestre 2027.
Les clients éligibles d'Interactive Brokers LLC peuvent staker de l'ETH depuis le Client Portal ; les récompenses sont créditées en ETH staké supplémentaire.
Ithaca Holdings paie 6,05 $ par action en numéraire, soit une prime d'environ 138 % sur le cours du 9 octobre. Ravi Gupta et John Hegeman deviendront co-CEO de l'appli de rencontres.
Selon The Information, les discussions n'en sont qu'au début et aucun montant n'a filtré. Les deux sociétés collaborent déjà sur Patch the Planet, une initiative de correction de failles open source.
Un jury fédéral du Delaware estime qu'Arm a violé un accord de licence et interféré dans la relation de Qualcomm avec Meta. Il n'accorde que des dommages symboliques et donne raison à Arm sur quatre autres griefs.
Workday a signé un accord pour acquérir C1.ai, une plateforme qui gère les droits d'accès des salariés comme des agents IA ; la clôture est attendue d'ici fin janvier 2027. Le groupe annonce en parallèle un partenariat qui connecte ses agents Sana à Claude.
CVE-2026-104935, publiée le 13 octobre par Ivanti, permet à un attaquant distant non authentifié d'exécuter des commandes arbitraires via un contournement d'authentification par usurpation sur Ivanti Connect Secure (versions 25.1.1.1 et antérieures, 25.1.2.2 et antérieures, 22.8R2.4 et antérieures ; 22.7R2.14 et antérieures non concernées). Ivanti lui attribue un score CVSS de 8,6. La CISA l'a ajoutée le même jour à son catalogue KEV, avec exploitation observée pour le vol d'identifiants et l'exfiltration de données.
CVE-2026-96951, corrigée le 13 octobre lors du Patch Tuesday Microsoft, est une injection de commande dans Windows Shell qui permet à un attaquant non autorisé de contourner la protection Mark of the Web sur un fichier reçu par le réseau (courriel ou messagerie). Microsoft lui attribue un score CVSS de 8,8. La faille est activement exploitée et a été ajoutée le même jour au catalogue KEV de la CISA.
CVE-2026-96113, publiée le 13 octobre, est un débordement de tampon basé sur le tas dans le serveur DNS de Windows. Un attaquant non authentifié peut exécuter du code à distance sur le réseau. Microsoft lui attribue un score CVSS de 9,8. Les versions concernées vont de Windows Server 2012 à Windows Server 2025, ainsi que certaines éditions de Windows 10.
CVE-2026-97814, également publiée le 13 octobre, touche le composant Windows Text Shaping (mise en forme du texte). Un débordement de tampon basé sur le tas permet à un attaquant non authentifié d'exécuter du code à distance. Microsoft lui attribue un score CVSS de 9,8. Windows 10, Windows 11 et Windows Server jusqu'à 2025 sont concernés.
CVE-2026-88163, corrigée le 13 octobre, concerne Microsoft SharePoint Server Subscription Edition (builds antérieures à 16.0.20326.20190). Un débordement ou un wraparound d'entier permet à un attaquant authentifié disposant de faibles privilèges d'exécuter du code à distance sans interaction de l'utilisateur. Microsoft lui attribue un score CVSS de 8,8.
CVE-2026-63350, décrite dans l'avis SSA-591731 publié le 13 octobre, touche le serveur web des automates SIMATIC S7-1500 et produits associés. Un fichier de trace piégé peut exécuter du JavaScript dans la session d'un utilisateur autorisé et déclencher des opérations sur l'automate dans le périmètre de ses droits. Siemens lui attribue un score CVSS de 9,6 ; aucun correctif n'est encore disponible, des mesures de mitigation sont recommandées.