Dernière édition ·
Intel a signé sa pire séance depuis 1974 après des prévisions décevantes, tandis qu'une fausse extension Claude Code a été diffusée sur la marketplace de Cursor. Le marché crypto encaisse encore le piratage de Binance, et Kalshi comme Cohere annoncent des levées géantes.
16 actus
Une version piégée de l'extension Claude Code, dotée d'une porte dérobée, est restée environ 11 heures sur la marketplace de Cursor et a été téléchargée par au plus 5 000 utilisateurs. Anthropic affirme que ses systèmes n'ont pas été compromis et Cursor a publié des étapes de remédiation.
OpenAI honorera un signal partagé dans robots.txt permettant aux sites d'exprimer leur préférence sur l'entraînement des IA auprès de plusieurs fournisseurs à la fois. Issu des travaux de l'IETF, il doit être mis en œuvre dans les prochains mois.
Clover-35B-A3B-Preview est un modèle MoE par diffusion de 35 milliards de paramètres dont 3 milliards actifs, publié sous licence Apache. DiffuSpace le dit plus rapide et meilleur que Qwen3.6-35B-A3B sur plusieurs benchmarks.
Lors d'un déploiement, un Durable Object actif peut garder son code actuel jusqu'à 5 minutes pour terminer le travail en cours, et les WebSockets en hibernation restent connectés. Le délai est configurable dans Wrangler.
Data Cache sort de bêta et rejoint Runtime Cache, avec de meilleures performances sous charge et 8 à 10 fois plus de stockage de cache par projet. Les Vercel Daemons gagnent aussi des liveness checks HTTP et l'accès aux services par bindings.
Cloudflare a ajouté à son Managed Ruleset une règle, désactivée par défaut et à couverture partielle, contre une vulnérabilité de Nuxt Image et IPX. L'éditeur recommande de suivre l'avis de sécurité et de mettre à jour.
Le bitcoin s'échangeait vers 77 000 dollars vendredi, en baisse d'environ 4 %, contre un recul moyen de 8,3 % dans les 24 heures suivant les précédents piratages de plateformes. Les analystes soulignent que le réseau Bitcoin lui-même n'a pas été touché.
Les liquidations ont été multipliées par quatre, à 1,57 milliard de dollars, et le BNB a perdu 6,2 %. Environ 3 milliards de dollars des fonds volés sont gelés, et TRM Labs et Elliptic attribuent l'attaque à la Corée du Nord.
Intel prévoit 15 à 16 milliards de dollars de chiffre d'affaires au quatrième trimestre, bien sous les attentes, en raison d'un marché PC affaibli par la flambée du coût de la mémoire. La chute a entraîné une déroute mondiale des valeurs des semi-conducteurs.
La plateforme de marchés de prédiction a bouclé une série G menée par Wellington et Sequoia. Elle veut développer l'adoption institutionnelle, l'accès international et de nouveaux produits comme des indices et des contrats perpétuels sur actions.
Cohere a annoncé le premier closing d'une série E visant jusqu'à 7 milliards de dollars canadiens, pour une valorisation de 35,7 milliards, menée par Schwarz Group avec l'entrée du gouvernement du Canada. Le montant déjà engagé n'a pas été communiqué.
Publiée mi-octobre, cette faille d'Ivanti Connect Secure 22.8R2.4 permet à un attaquant déjà présent sur l'équipement d'obtenir les droits root ; elle est exploitée en chaîne avec CVE-2026-104935. Ce qui est nouveau : la CISA l'a ajoutée le 30 octobre à son catalogue des failles exploitées, avec une échéance au 2 novembre, en même temps que CVE-2026-118527, une autre faille de la même chaîne.
Les versions 1.0.0 à 1.12.3 de Langflow, outil de création de workflows d'IA, désérialisent sans contrôle des données reçues par le courtier de messages, ce qui permet à un attaquant capable de le joindre d'exécuter du code sur le serveur. IBM a publié le même jour plusieurs autres correctifs pour Langflow.
Dans la plateforme d'automatisation n8n, les anciens nœuds Function, Function Item et LangChain Code s'exécutent en dehors de l'isolation prévue. Un utilisateur authentifié autorisé à créer ou importer des workflows peut ainsi exécuter du JavaScript dans le processus principal ; les versions 2.42.6, 2.43.3 et 3.0.1 corrigent le problème.
Dans le gestionnaire d'identités ZITADEL, de la version 4.0.0 à la version 4.19.5 exclue, un attaquant non authentifié peut forger un cookie de vérification de l'interface Login V2. Il peut alors définir le premier mot de passe ou la première clé d'accès d'un utilisateur qui n'en a pas encore, et prendre le contrôle du compte.
Avant la version 3.54.0, SQLite compilé avec le module de recherche plein texte FTS5 peut écrire hors de la mémoire allouée lors de certaines requêtes de recherche par préfixe. Un attaquant capable de remplir une table FTS5 spécifique peut corrompre la mémoire et faire planter l'application.