Toutes les actus

Fireworks AI : des données clients et poids de modèles exposés

L'hébergeur d'inférence indique que des attaquants ont accédé à des jeux de données de clients, à des poids de modèles inachevés et à des informations de facturation. Les numéros de cartes bancaires ne seraient pas touchés et les clients concernés sont prévenus.

Mots-clés :#sécurité#fuite#inférence

L'Australie va créer un régulateur de la sécurité de l'IA

Le Premier ministre Anthony Albanese annonce un régulateur chargé d'imposer des standards aux entreprises d'IA de pointe opérant en Australie, avec des sanctions financières. La décision fait suite à l'intrusion d'un agent OpenAI sur un site du ministère de la Santé en juin.

Mots-clés :#régulation#Australie#OpenAI

SAP Gateway : une liste de contrôle d'accès trop permissive expose les systèmes

SAP Gateway active par défaut une liste de contrôle d'accès aux privilèges élevés, qui peut faire passer un attaquant externe pour un serveur d'applications interne. Sans authentification, il peut alors mener des actions non autorisées avec un fort impact sur le système. Le même bulletin corrige deux corruptions de mémoire également notées 10 dans NetWeaver AS ABAP (CVE-2026-76964) et SAP Web Dispatcher (CVE-2026-89126).

Mots-clés :#SAP#SAP Gateway#contrôle d'accès

SAP NetWeaver AS ABAP : contournement d'authentification noté 10 sur 10

Dans certaines configurations, SAP NetWeaver AS ABAP et ABAP Platform ne vérifient pas suffisamment les assertions d'authentification reçues. Un attaquant non authentifié peut ainsi usurper l'identité de n'importe quel utilisateur, y compris un compte privilégié, et compromettre entièrement le système ainsi que des systèmes connectés. SAP corrige la faille dans son bulletin de novembre (note 3849308).

Mots-clés :#SAP#NetWeaver#authentification#ERP

Anthropic lance Claude Fable 5.2 et Mythos 5.2

Anthropic présente ses modèles les plus puissants pour le code, le raisonnement et les tâches techniques longues. Fable 5.2 est ouvert aux utilisateurs payants et via l'API, Mythos 5.2 est réservé aux organisations vérifiées en cybersécurité et sciences de la vie. Le prix baisse à 8 $ par million de tokens en entrée et 40 $ en sortie.

Mots-clés :#Anthropic#Claude#LLM

Coframe lève 25 M$ pour des sites web qui s'optimisent par IA

Coframe annonce une série A de 25 millions de dollars codirigée par Khosla Ventures et Hanabi Capital, pour un total de 35 millions levés. La startup génère, teste et déploie en continu des variantes de sites et de publicités.

Mots-clés :#levée de fonds#web#IA

Coinbase et PNC étendent leur partenariat aux paiements en USDC

Coinbase et la banque américaine PNC élargissent leur partenariat pour proposer des paiements en stablecoin USDC aux clients entreprises de la banque.

Mots-clés :#Coinbase#USDC#stablecoin

Google ajoute les TPU 8tx et 8i Max à sa huitième génération

Le TPU 8tx vise l'inférence confidentielle en gardant données et poids chiffrés pendant le traitement. Le TPU 8i Max double le calcul, la SRAM et la bande passante HBM par rapport au TPU 8i pour les très longs contextes.

Mots-clés :#Google#TPU#inférence

Le NYSE choisit Avalanche pour régler ses actions tokenisées 24h/24

Le New York Stock Exchange utilisera la blockchain Avalanche pour la compensation et le règlement de sa future plateforme de titres tokenisés ouverte en continu, sous réserve d'approbation réglementaire. La sélection intervient après environ un an de tests.

Mots-clés :#NYSE#Avalanche#tokenisation

Meta sort Muse Ember, petit modèle à bas coût pour les agents

Muse Ember est le plus petit modèle de Meta, conçu pour les appels d'outils, le routage, l'extraction de données et l'analyse de longs documents. Il coûte 0,10 $ par million de tokens en entrée et 0,50 $ en sortie, avec un contexte d'un million de tokens.

Mots-clés :#Meta#agents#modèle

Nominal lève 240 M$ et triple sa valorisation à 3 Md$

La startup texane, qui propose une plateforme IA pour tester du matériel complexe comme des avions ou des réacteurs, boucle une série C menée par Lightspeed et Insight Partners. Sa valorisation a triplé en huit mois.

Mots-clés :#levée de fonds#hardware#IA

Nvidia et Jensen Huang visés par une action collective d'actionnaires

Une plainte déposée à San Jose accuse Nvidia et son PDG d'avoir caché les liens de Jensen Huang avec une espionne chinoise présumée. L'action a clôturé en baisse de 4,3 % lundi, soit environ 190 milliards de dollars de capitalisation effacés.

Mots-clés :#Nvidia#justice#bourse

rConfig : exécution de code à distance sans authentification via la file Redis

Dans rConfig Core 8.0.0 à 8.2.18 et rConfig Pro avant 8.4.1, un attaquant non authentifié peut injecter une tâche sérialisée piégée dans la file Redis de l'application et exécuter du code arbitraire. Il peut alors installer un webshell et lire les identifiants des équipements réseau gérés ; les versions 8.2.19 et 8.4.1 corrigent la faille.

Mots-clés :#rConfig#réseau#exécution de code

Le sénateur Blumenthal interpelle Binance, Tether et World Liberty Financial

Le sénateur américain Richard Blumenthal a demandé des documents à plusieurs acteurs crypto, dont Binance, Tether et World Liberty Financial, d'ici le 4 janvier 2027, sur fond de pression réglementaire accrue après les midterms.

Mots-clés :#régulation#Binance#Tether

Anthropic signe 3,4 Md$ pour 1,7 GW de générateurs au gaz

Selon le Financial Times, Anthropic a repris des commandes de générateurs Caterpillar passées par OnePWR Solutions pour alimenter ses data centers, sans racheter le fournisseur.

Mots-clés :#Anthropic#énergie#data centers

Bitcoin au plus bas depuis août, plus d'1 Md$ de liquidations

Le bitcoin est descendu vers 73 761 $ avant de repasser au-dessus de 75 000 $, et l'ether a cassé les 2 100 $. Plus d'un milliard de dollars de positions ont été liquidées en 24 heures, dont 913 M$ de positions longues selon CoinGlass.

Mots-clés :#bitcoin#ether#liquidations

imgproxy : une image ICO piégée peut provoquer un dépassement de tas

Un dépassement d'entier dans le chargeur ICO d'imgproxy, des versions 4.0.0 à 4.0.15, permet à un attaquant distant de corrompre la mémoire avec une image forgée. L'exploitation peut faire planter le service ou conduire à une exécution de code ; la version 4.0.16 corrige la faille.

Mots-clés :#imgproxy#traitement d'images#dépassement de tampon

Kyverno : un locataire d'espace de noms peut devenir administrateur du cluster Kubernetes

Dans Kyverno 1.19.1, des séquences d'échappement malformées dans le paramètre urlPath permettent de contourner la restriction d'espace de noms des appels apiCall. Un locataire peut alors agir avec le compte de service du contrôleur d'admission et s'élever jusqu'aux droits d'administrateur du cluster ; la version 1.19.2 corrige le problème.

Mots-clés :#Kyverno#Kubernetes#élévation de privilèges

Nvidia ouvre une enquête indépendante sur son PDG Jensen Huang

Le conseil d'administration enquête après des informations selon lesquelles Jensen Huang aurait été la cible d'un effort de renseignement étranger. Il dit n'avoir aucune raison de penser que des secrets de Nvidia ont été compromis et maintient sa confiance au PDG.

Mots-clés :#Nvidia#gouvernance#sécurité nationale

OpenAM : vol de jetons de session sans authentification, score maximal de 10

Les versions 14.0.0 à 16.1.3 d'OpenAM permettent à un attaquant non authentifié de lire des jetons de session actifs depuis le WebSocket de notification, ce qui ouvre la voie au détournement de comptes utilisateurs et administrateurs. Le même avis de la version 16.1.4 corrige aussi un contournement d'authentification SAML (CVE-2026-123550, CVSS 9,8).

Mots-clés :#OpenAM#SSO#session#authentification

OpenEMR : rejeu de jetons et force brute du code PIN sur le portail patient

Les versions 7.0.1 à 8.3.x d'OpenEMR ne révoquent pas les jetons d'accès à usage unique et ne limitent pas les tentatives de saisie du code PIN. Un attaquant qui intercepte un jeton peut le réutiliser ou deviner le PIN pour ouvrir des sessions exposant des données de santé ; la version 8.4.0 corrige la faille.

Mots-clés :#OpenEMR#santé#authentification

Qwen Code 0.27.0 : sous-questions parallèles et filtres de dépôts GitHub

Les sessions d'agents gérés traitent plusieurs sous-questions à la fois, l'intégration GitHub gagne des listes d'autorisation et de blocage de dépôts, et l'outil shell gère mieux CRLF et Unicode.

Mots-clés :#Qwen Code#open source#agents de code

TanStack Router/Start : correctifs HMR et Vite 6 minimum

La release du 8 novembre corrige le HMR Vite, les devtools et les source maps des routes découpées, et exige désormais Node 20.19+ ou 22.12+ ainsi que Vite 6.

Mots-clés :#TanStack#React#Vite

Claude Code : 1 122 fichiers publics sur GitHub contiennent des secrets

Apiiro a trouvé 1 379 secrets dans des fichiers .claude/settings.local.json publics, enregistrés quand l'utilisateur choisit « Yes, and don't ask again ». Les chercheurs recommandent de faire tourner les clés exposées puis de retirer le fichier du suivi git.

Mots-clés :#Claude Code#sécurité#GitHub#secrets

Keycloak : exécution de code à distance via une politique JavaScript malveillante

Lors de la création ou de l'import d'un client avec les services d'autorisation activés, Keycloak ne nettoie pas un attribut de session interne. Un attaquant authentifié disposant de droits de gestion des clients peut ainsi téléverser une politique JavaScript exécutée sur le serveur, jusqu'à compromettre le système.

Mots-clés :#Keycloak#Red Hat#exécution de code#authentification

DeepMind : des agents IA reproduisent une attaque sur le RSA 1024 bits

Google DeepMind a présenté deux working papers de cryptanalyse dans lesquels des agents IA guidés par des chercheurs, dont Nadia Heninger et Emmanuel Thomé, ont reproduit une attaque déjà connue sur le RSA 1024 bits en 391 années-cœur CPU, soit environ 3,5 fois moins que le calcul d'origine. Un second article décrit des « fan factories » pour factoriser plusieurs clés 1024 bits à moindre coût après une précomputation. Les auteurs précisent que le RSA 2048 bits et au-delà n'est pas menacé, et que les gains les plus spectaculaires restent des estimations théoriques.

Mots-clés :#deepmind#cryptanalyse#rsa#agents

ETF bitcoin : 1,28 Md$ de sorties, pire semaine depuis juin

Les ETF bitcoin spot américains ont enregistré 1,28 milliard de dollars de sorties nettes la semaine dernière, leur pire semaine depuis fin juin, selon l'analyse de The Block à partir des données SoSoValue. Les 12 fonds sont désormais à environ 914,1 millions de dollars de sorties nettes sur l'ensemble de 2026. IBIT a concentré 403 millions de dollars des sorties de vendredi, soit environ 88 % des sorties brutes du jour, et les ETF ether ont perdu 365,3 millions de dollars, leur sixième semaine consécutive de sorties.

Mots-clés :#bitcoin#etf#ether#marchés

IBM API Connect : contournement d'authentification parmi des dizaines de failles

Une vérification incorrecte de signature cryptographique permet à un attaquant non authentifié de contourner l'authentification d'IBM API Connect, versions 10.0.8.0 à 10.0.8.12 et 12.1.0.0 à 12.1.1.2. IBM a publié le même jour de nombreuses autres vulnérabilités critiques pour ce produit, dont des identifiants codés en dur (CVE-2026-17360).

Mots-clés :#IBM#API Connect#contournement d'authentification

IBM Aspera Faspex : un utilisateur peut obtenir les privilèges administrateur

Dans IBM Aspera Faspex 5.0.0 à 5.0.19, un utilisateur autorisé peut forger un message spécifique pour contourner les contrôles d'autorisation et obtenir les privilèges d'administration complets. IBM a publié un bulletin de sécurité pour cette faille.

Mots-clés :#IBM#Aspera Faspex#transfert de fichiers

Kaiser Ng quitte son poste de CFO de Binance après le piratage

Kaiser Ng quitte son poste de directeur financier de Binance, neuf jours après le piratage record d'environ 6,3 milliards de dollars. Le co-CEO Yi He indique que ce départ lui permettra de poursuivre une nouvelle aventure après plus de cinq ans, et qu'une transition est en place depuis six mois. Justin Yek lui succède.

Mots-clés :#binance#cfo#gouvernance

Piratage Binance : 2 300 BTC convertis, 3,13 Md$ encore tracés

Selon une mise à jour d'Elliptic au 7 novembre, les auteurs du piratage de Binance ont converti environ 2 300 bitcoins, soit 175 millions de dollars, à partir d'autres crypto volées, surtout du SOL et du XRP. Environ 3,13 milliards de dollars restent dans des adresses liées au vol et 2,85 milliards ont été gelés, après plus de 20 000 portefeuilles sur 16 blockchains et au moins 65 000 transactions. Les principaux stocks de bitcoin et d'ether n'ont pas bougé, et une quantité négligeable aurait été encaissée.

Mots-clés :#binance#elliptic#blanchiment#bitcoin

GitHub Copilot CLI 1.0.107 ajoute /code et GPT-6.1 Terra

La version 1.0.107 permet d'ouvrir la session dans VS Code avec /code, unifie les réglages dans un tableau /settings et donne accès à GPT-6.1 Terra pour les comptes éligibles.

Mots-clés :#GitHub Copilot#CLI#agents

@GitHub passe en disponibilité générale dans Slack et Teams

GitHub rend @GitHub généralement disponible dans Slack et Microsoft Teams : on peut enquêter sur un bug, créer une issue, implémenter un changement et ouvrir une pull request sans quitter la conversation. Dans Teams, Canvas permet de revoir plans, diffs et previews à côté du fil. Les issues et pull requests créées mentionnent désormais qu'elles viennent d'une conversation Slack ou Teams.

Mots-clés :#github#slack#teams#copilot

Craft CMS : injection SQL sans authentification permettant de devenir administrateur

Le point de recherche d'éléments de Craft CMS concatène le paramètre « attribute » dans la requête sans le filtrer, ce qui permet à un attaquant distant non authentifié de lire et de modifier la base de données, puis d'obtenir un accès administrateur. Les versions 4.18.9 et 5.11.2 corrigent le problème.

Mots-clés :#Craft CMS#injection SQL#CMS

Crusoe cède à Google son data center inachevé dans le Wyoming

Crusoe a confirmé la vente à Google de son projet de data center inachevé dans le sud-est du Wyoming. Google, que Crusoe n'avait pas réussi à convaincre comme client, reprend le développement et prévoit d'investir 17 milliards de dollars sur le campus ; le montant versé à Crusoe n'est pas dévoilé. Crusoe, valorisé récemment 30,9 milliards de dollars, développe toujours un autre campus pour Google près d'Amarillo, au Texas.

Mots-clés :#google#crusoe#data-center#ia

Cursor lance Voice Chat, un appel vocal en temps réel avec l'agent

Cursor permet désormais un appel vocal en temps réel avec l'agent de code, dans la fenêtre Agents, l'IDE, le web et l'app iOS. On peut décrire un changement à voix haute et continuer à parler pendant que l'agent travaille ; celui-ci donne de courtes mises à jour orales. La fonction tourne sur Grok Voice et, en Privacy Mode, aucune donnée n'est conservée ; elle est distincte de la dictée.

Mots-clés :#cursor#agents#voix#grok

Microsoft Entra : élévation de privilèges critique dans Device Registration

Un contournement d'autorisation, lié à une clé contrôlée par l'utilisateur dans le service Entra Device Registration, permet à un attaquant non autorisé d'élever ses privilèges à distance. Microsoft attribue à cette faille la note maximale de 10.

Mots-clés :#Microsoft#Entra#élévation de privilèges

Physicl lève 10 M$ pour des données 3D destinées à l'IA physique

Physicl a levé 10 millions de dollars en seed, un round mené par Inovia Capital, pour générer des données d'entraînement 3D réalistes destinées à l'IA physique et à la robotique. La startup lance Studio, avec 10 000 environnements 3D et 100 000 objets, afin de recréer des cas limites comme une tasse dans l'ombre ou un plan de travail encombré.

Mots-clés :#physicl#robotique#seed#données

SonicWall SonicOS SSLVPN : contournement de l'authentification SAML exploité

Un utilisateur disposant d'identifiants valides pour une autre méthode d'authentification peut contourner les contrôles SAML du service SSLVPN de SonicOS, y compris l'authentification multifacteur imposée par SAML. La CISA a ajouté la faille à son catalogue des vulnérabilités activement exploitées le 6 novembre, avec une échéance de correction fixée au 20 novembre pour les agences fédérales américaines.

Mots-clés :#SonicWall#VPN#MFA#exploitation active

Vercel AI Gateway ajoute DeepSeek Search et DeepSeek Fetch

DeepSeek Search trouve des pages avec titre, URL et résumé, et DeepSeek Fetch ramène le contenu en Markdown. Les deux outils fonctionnent avec n'importe quel modèle capable d'appeler des tools, via une seule clé AI Gateway, sans compte DeepSeek séparé. Ils sont disponibles dans l'AI SDK 6.0.321 ou plus récent (v6) et 7.0.160 ou plus récent (v7), à 0,75 dollar pour 1 000 requêtes facturables ; les échecs, timeouts et résultats vides ne sont pas facturés.

Mots-clés :#vercel#ai-gateway#deepseek#sdk

Bitcoin se stabilise vers 76 000 $ après le sell-off IA

Rebond depuis environ 75 200 $ ; plus d'1 Md$ de liquidations sur 24 h selon CoinGlass. Les sorties ETF du jeudi (FBTC ~−200 M$, IBIT −105 M$) pèsent encore sur le marché.

Mots-clés :#bitcoin#marché#liquidations#ETF

ETF crypto US : plus de 540 M$ de sorties nettes jeudi

FBTC (Fidelity) −199,9 M$, IBIT −105 M$, GBTC −49,9 M$ ; sorties cumulées de la semaine au-delà de 1,1 Md$. BTC a chuté d'environ 5,6 % et ETH d'environ 7,8 % jeudi avec le sell-off tech post-midterms.

Mots-clés :#ETF#bitcoin#outflows#midterms

FinCEN coupe MEXC Global du système financier US

Ordre du 6 novembre : les institutions US ne peuvent plus traiter de transferts avec MEXC, accusé d'avoir facilité au moins 16 Md$ de flux illicites (sanctions Iran/RPDC/Russie, cybercrime). Effet 30 jours après publication au Federal Register.

Mots-clés :#MEXC#FinCEN#sanctions#régulation

OpenAI aurait levé 11 Md$ à 1,25 T$ de valorisation

Première tranche d'un round encore ouvert (jusqu'à environ 20 Md$ possibles selon Bloomberg). La cible antérieure de 30 Md$ n'est pas atteinte ; TechCrunch n'a pas obtenu de commentaire officiel d'OpenAI.

Mots-clés :#OpenAI#levée de fonds#valorisation#Bloomberg

Anthropic : inference hooks GA et centre de sécurité pour Claude Enterprise

Les hooks (prompt et pré-tool-call) envoient prompts et appels d'outils vers les outils DLP/sécurité de l'entreprise avant exécution. Un security center, une gestion centralisée et des contrôles d'accès additionnels sont en bêta.

Mots-clés :#Anthropic#Claude Enterprise#sécurité#DLP

CesiumAstro lève 730 M$ (série D) à plus de 4,5 Md$

Round mené par Janus Henderson, avec 100 M$ de dette EXIM/JPMorgan. Annonce de la constellation Synchronicity (737 satellites) après la mise en orbite d'Element-1.

Mots-clés :#CesiumAstro#espace#série D#satellites

Cursor permet de créer et déployer des apps web live depuis l'agent cloud

Un cloud agent peut scaffolder une app, provisionner Postgres, configurer l'auth SSO Cursor et déployer un lien partageable, après contrôles de sécurité et publication explicite. Disponible sur les plans payants avec cloud agents activés.

Mots-clés :#Cursor#cloud agents#déploiement#apps

Playwright 1.65 : le test runner tourne sur Bun

Avec bunx --bun playwright test, Bun transpile le TypeScript sans Babel. Nouveau reporter failures et option onlyFailures. Breaking changes (class fields, cookies RFC 6265) ; Node 20 n'est plus testé.

Mots-clés :#Playwright#Bun#tests#breaking changes

Shield AI lève 2,5 Md$ et rachète Echodyne pour 5,3 Md$

Série H de 1 Md$ à 28,8 Md$ post-money (Disruptive, Innovation X), 1 Md$ d'equity structurée Blackstone et 500 M$ de dette JPMorgan. Acquisition du radar Echodyne (contre-drones) attendue début 2027.

Mots-clés :#Shield AI#défense#Echodyne#M&A

SvelteKit 2.70.4 : cinq correctifs de sécurité

Corrige un path traversal Windows en preview, des chemins // chargeant du code d'une autre origine, un self-fetch serveur qui suivait les redirects, un échappement cache-control, et un 400 sur reroute malformé.

Mots-clés :#SvelteKit#sécurité#patch

Thinking Machines sort Inkling 2 Small (594B MoE, 17B actifs)

Modèle multimodal (texte + images), contexte 1M tokens, score 31 sur l'Artificial Analysis Intelligence Index (vs 13 pour Inkling Small). Disponible sur Tinker ; poids Apache 2.0 prévus après tests de sécurité.

Mots-clés :#Thinking Machines#Inkling#MoE#open weights

Anthropic ajoute Personal Finance à Claude via Plaid

La bêta américaine pour les plans Pro, Max et Ultra connecte comptes bancaires et cartes en lecture seule. Claude analyse soldes et transactions mais ne peut ni déplacer ni investir l'argent ; les chats du hub ne servent pas à l'entraînement.

Mots-clés :#Anthropic#Claude#finance#Plaid

Bitcoin Core : proposition de « quantum landmines » anti-vol

Cory Fields propose que tout déplacement de coins vulnérables au quantique exige un collatéral égal, que le propriétaire pourrait récupérer avec une preuve préparée. Il présente l'idée comme une expérience de pensée dépendant de portefeuilles post-quantiques.

Mots-clés :#bitcoin#quantique#sécurité#Bitcoin Core

Bitcoin sous 76 000 $ avec le krach des valeurs IA à Wall Street

Le bitcoin perd environ 5,2 % sur 24 h, juste sous 76 000 $, alors que le Nasdaq cède 5,5 % et l'indice des semi-conducteurs 12 %. Plus d'1 Md$ de positions dérivées crypto ont été liquidées, selon CoinGlass cité par CoinDesk.

Mots-clés :#bitcoin#marché#IA#liquidations

Cloudflare : retries automatiques pour les appels Durable Objects

Les appels fetch et RPC qui échouent avant d'atteindre un Durable Object sont réessayés jusqu'à quatre fois dans une fenêtre de 10 secondes. Les méthodes idempotentes se déclarent avec retryable() depuis cloudflare:durable-objects.

Mots-clés :#Cloudflare#Durable Objects#Workers#retries

GitHub ouvre l'Overview des pull requests en préversion publique

Une synthèse compacte du statut de merge et des prochaines actions remonte en haut de la PR. On peut filtrer les conversations non résolues et trier les commentaires du plus récent au plus ancien ; l'ancien overview reste accessible.

Mots-clés :#GitHub#pull requests#UX#preview

GiveWP : élévation de privilèges via le rôle par défaut des donateurs

Dans l'extension WordPress GiveWP jusqu'à la version 4.19.1, un utilisateur authentifié disposant du rôle Give Manager ou supérieur peut, via le paramètre donor_default_user_role, faire attribuer un rôle WordPress élevé, y compris administrateur, lors de l'inscription d'un donateur. La version 4.19.1.1 corrige cette faille d'élévation de privilèges.

Mots-clés :#WordPress#GiveWP#élévation de privilèges

Google lance Gemini Omni 1.2 Flash : vidéos 15 s et −30 % de prix

Disponible sur l'API Gemini et Google Cloud, Omni 1.2 Flash génère des clips jusqu'à 15 secondes avec édition conversationnelle multi-tours. Le prix en 720p passe à 0,07 $ par seconde, soit 30 % de moins que la version 1.1.

Mots-clés :#Google#Gemini#vidéo#Omni

Harbinger lève 240 M$ en série D et pousse vers la défense

La série D est co-menée par Tiger Global, Capricorn et Ridgeline. FedEx réinvestit et a passé une commande de 2 000 camions électriques pour plus de 300 M$.

Mots-clés :#Harbinger#EV#défense#levée de fonds

Le New York Times négocierait le rachat de Letterboxd à 330 M$

Selon le Times repris par TechCrunch, le groupe est en négociations exclusives pour acquérir la plateforme cinéma, qui compte environ 28 millions d'utilisateurs. L'opération n'est pas encore finalisée.

Mots-clés :#Letterboxd#NYT#acquisition#média

OpenAI lance GPT-6 Cyber, modèle cybersécurité pour Daybreak Red

Réservé aux clients Daybreak Red approuvés, GPT-6 Cyber marque 48,5 % sur ExploitGym contre 32,1 % pour GPT-5.6 Cyber. OpenAI l'a déjà utilisé pour 81 failles Firefox et 948 exploits Linux, et le classe Critical dans son Preparedness Framework.

Mots-clés :#OpenAI#GPT-6#cybersécurité#Daybreak

OpenSSH : contournement d'authentification par mot de passe sur musl (Alpine)

Avant la version 10.6p2, sshd sur Linux avec musl libc et sans PAM peut accepter un mot de passe très long (256 à 1024 caractères) pour certains comptes dont le champ de hachage vaut « * ». Alpine Linux, qui construit openssh-server sans PAM, est particulièrement concerné lorsque PasswordAuthentication est activé. OpenSSH 10.6p2 et les paquets Alpine mis à jour corrigent le problème ; un redémarrage de sshd est nécessaire après la mise à jour.

Mots-clés :#OpenSSH#Alpine#contournement d'authentification

Vercel Schedules passe en bêta publique sur tous les plans

On peut planifier des tâches récurrentes ou ponctuelles vers une Function, un chemin HTTP ou un topic Queue, sans redéployer pour activer, désactiver ou lancer à la demande. Schedules remplace progressivement les Cron Jobs.

Mots-clés :#Vercel#Schedules#cron#Functions

Zipline lève 1,5 Md$ et atteint 21,5 Md$ de valorisation

Le round est mené par Paradigm, WCM Investment Management et Layer Global. Walmart étend en parallèle le partenariat de livraison par drone à 300 sites aux États-Unis, contre 21 actifs aujourd'hui.

Mots-clés :#Zipline#drones#Walmart#levée de fonds

Apple : une faille de contournement de Pointer Authentication désormais exploitée

Corrigée par Apple en mai 2024 (Safari 17.5, iOS 17.5, macOS Sonoma 14.5 notamment), cette faille permet à un attaquant disposant déjà d'un accès en lecture et écriture de contourner la protection Pointer Authentication. Ce qui est nouveau : la CISA l'a ajoutée le 4 novembre 2026 à son catalogue des failles activement exploitées. Les appareils non mis à jour depuis 2024 restent exposés.

Mots-clés :#Apple#Safari#iOS#exploitation active

Kyverno : un locataire Kubernetes peut écraser des ressources d'autres namespaces

Dans Kyverno 1.17.0 à 1.19.1, un locataire limité à son namespace peut, via une politique NamespacedMutatingPolicy, amener le contrôleur privilégié à écraser des Secrets, des Deployments ou des politiques dans tout le cluster. Plusieurs autres failles critiques de contournement d'autorisation ont été corrigées en même temps dans la version 1.19.2.

Mots-clés :#Kubernetes#Kyverno#élévation de privilèges

NoMachine : dépassement de tampon menant à l'exécution de code sans authentification

Un dépassement de tampon dans le tas du service web nxwebrunner de NoMachine peut permettre à un attaquant distant non authentifié d'exécuter du code arbitraire. La faille, désormais référencée dans le NVD, est corrigée dans les versions 10.1.7, 9.9.6 et 8.27.1. Tant que la mise à jour n'est pas appliquée, il est recommandé de restreindre l'accès au service web exposé.

Mots-clés :#NoMachine#exécution de code#dépassement de tampon

WatchGuard AuthPoint Gateway : absence d'authentification sur des fonctions critiques

Dans AuthPoint Authentication Gateway avant la version 7.6.0, une absence d'authentification permet à un attaquant distant ayant un accès réseau à l'hôte de perturber les services d'authentification et de supprimer la configuration locale de synchronisation d'annuaire. Les déploiements configurés avec un fournisseur LDAP ou Active Directory sont concernés. La version 7.6.0 corrige également plusieurs autres failles critiques de la passerelle.

Mots-clés :#WatchGuard#AuthPoint#absence d'authentification

Cloudflare AI Gateway prend en charge les alias de modèles

Un alias regroupe plusieurs modèles sous un seul nom, avec bascule automatique en cas d'échec ou routage intelligent. On peut changer de modèle sans redéployer l'application.

Mots-clés :#Cloudflare#AI Gateway#routage

Cognition présente SWE-2 Flash, un modèle de code rapide et peu coûteux

Disponible dans Devin Desktop et la CLI, SWE-2 Flash est annoncé à un cinquième du prix et trois fois la vitesse de SWE-2. Cognition prépare un programme pour partager les poids avec des partenaires et chercheurs.

Mots-clés :#Cognition#Devin#code

Congrès démocrate : altcoins et DeFi jugés les plus exposés

Selon les analystes cités par CoinDesk, le gel du CLARITY Act était déjà intégré dans les prix. La suite dépendra surtout du retour des flux vers les ETF bitcoin et d'une cassure au-dessus de 82 000 $.

Mots-clés :#régulation#CLARITY Act#ETF

IBM Watson Speech Services : exécution de code à distance (CVSS 9,8)

Une faille de type use-after-free dans IBM Watson Speech Services Cartridge, versions 4.0.0 à 5.4.0, pourrait permettre à un attaquant distant d'exécuter du code arbitraire. IBM a publié un bulletin de sécurité avec les mesures correctives.

Mots-clés :#IBM#Watson#exécution de code

Le bitcoin rebondit en V après la victoire démocrate aux midterms

Tombé juste sous 76 000 $, le bitcoin est repassé au-dessus de 78 000 $ à mesure que l'incertitude électorale se dissipait. Les traders ont acheté massivement des options call pendant le rebond.

Mots-clés :#bitcoin#midterms#options

Lingchuan Technology, issu de Kuaishou, lève 1 Md de yuans

Ce fabricant chinois de puces développe des processeurs pour la génération vidéo et d'autres charges lourdes. Les fonds financeront la prochaine génération de puces et l'expansion internationale.

Mots-clés :#semi-conducteurs#Chine#vidéo IA

Tencent lance Hy4, avec compréhension d'images et pilotage d'ordinateur

Tencent a publié Hy4, son nouveau grand modèle de langage, qui ajoute la compréhension visuelle et le computer use. Les poids et les fiches système doivent être publiés dans les prochains jours ; l'API est déjà accessible via des plateformes tierces comme OpenRouter.

Mots-clés :#Tencent#LLM#open source#agents

Titan OS lève 46 M$ pour exporter son OS de TV connectée

La société barcelonaise combine fonds propres et dette, notamment des facilités gérées par BlackRock. Elle a levé 110 M$ au total.

Mots-clés :#Titan OS#smart TV#levée de fonds

Vercel Workflow SDK ajoute les démarrages idempotents

La fonction start() peut désormais réserver un jeton de hook de façon atomique. Un démarrage en double avec le même jeton lève une HookConflictError au lieu de créer une nouvelle exécution.

Mots-clés :#Vercel#Workflow#idempotence

webAI publie TwIL-8B, un modèle de raisonnement de 8,8 Md de paramètres

Dérivé de Granite 4.2 8B d'IBM, TwIL-8B vise les maths, le code et le suivi d'instructions, et tourne sur CPU en version 4 bits. Les poids sont sur Hugging Face sous licence non commerciale.

Mots-clés :#webAI#raisonnement#petit modèle

Le bitcoin tombe brièvement à 75 700 $ avec les résultats des midterms

Le bitcoin a touché son plus bas depuis le 17 septembre quand les premiers résultats ont annoncé une vague démocrate au Congrès, avant de remonter vers 76 700 $. Le marché craint un frein au projet de loi CLARITY.

Mots-clés :#bitcoin#midterms#marché

Google Chrome : dépassement de tampon critique dans Dawn (WebGPU)

Chrome avant la version 157.0.8103.38 contient un dépassement de tampon dans Dawn, le composant WebGPU. Un attaquant distant peut potentiellement exécuter du code hors du bac à sable via une page HTML conçue à cet effet. Google a publié Chrome 157 avec cette correction classée critique, parmi 213 correctifs de sécurité.

Mots-clés :#Chrome#WebGPU#exécution de code

fal lève 1,3 Md$ et double sa valorisation à 16 Md$

La startup d'inférence IA a bouclé une série F menée par Bessemer Venture Partners, avec Nvidia parmi les participants. Sa valorisation double par rapport à avril.

Mots-clés :#fal#inférence#levée de fonds

FreeRDP : un serveur malveillant peut faire planter le client via le presse-papiers

Avant la version 3.32.2, FreeRDP ne gère pas correctement les erreurs lors de la lecture d'images PNG ou JPEG reçues par le presse-papiers. Un serveur RDP malveillant ou un attaquant en position d'interception peut ainsi provoquer l'arrêt du client.

Mots-clés :#FreeRDP#RDP#déni de service

Argo CD Image Updater : injection de commandes via l'URL de proxy SSH

Argo CD Image Updater transmet sans filtrage l'URL de proxy configurée sur un dépôt Git SSH à une commande interprétée par le shell. Un attaquant capable de définir cette valeur peut exécuter des commandes arbitraires et accéder aux identifiants du processus. Red Hat a publié un avis et un correctif a été proposé dans le projet.

Mots-clés :#Kubernetes#injection de commandes#DevOps

Bornes de recharge Etrel INCH : identifiants par défaut donnant un accès administrateur

L'interface web de gestion des bornes Etrel INCH AC antérieures aux micrologiciels 7.1.2 et 8.0.1 contient un compte d'usine aux identifiants codés en dur. Un attaquant distant peut s'en servir pour obtenir un accès administrateur complet, y compris aux paramètres de connexion OCPP de la borne. La mise à jour du micrologiciel corrige le problème.

Mots-clés :#borne de recharge#identifiants par défaut#IoT

BuddyBoss App : téléversement de fichiers arbitraires menant à l'exécution de code

L'extension WordPress BuddyBoss App jusqu'à la version 3.2.1 ne vérifie le type des fichiers envoyés via la fonction de retour d'expérience qu'à partir de l'en-tête fourni par le client. Un utilisateur disposant d'un simple compte abonné peut téléverser un fichier exécutable et potentiellement exécuter du code sur le serveur. La version 3.2.2 corrige la faille.

Mots-clés :#WordPress#téléversement de fichiers#exécution de code

Cloudflare : les nouveaux AI Gateways exigent une authentification

L'authentification est activée par défaut sur les nouveaux AI Gateways et ne peut plus être désactivée ensuite. Les gateways existants sans authentification continuent de fonctionner.

Mots-clés :#Cloudflare#AI Gateway#sécurité

Easy Digital Downloads : prise de contrôle d'un compte administrateur via PayPal

Dans l'extension WordPress Easy Digital Downloads jusqu'à la version 3.7.2, un paiement PayPal en tant qu'invité avec l'adresse e-mail d'un administrateur peut ouvrir une session authentifiée sous son identité. Un attaquant non authentifié peut ainsi prendre le contrôle complet du site. Il est recommandé de passer à une version corrigée.

Mots-clés :#WordPress#contournement d'authentification#e-commerce

ETF bitcoin : 398,6 M$ de sorties lundi, plus de 1,04 Md$ en deux séances

IBIT de BlackRock concentre l'essentiel des retraits. Les ETF ether perdent 139,8 M$ et enchaînent une sixième séance négative.

Mots-clés :#ETF#bitcoin#ether

Flower Labs lance Endeavor 1.1, avec inférence hébergée dans l'UE

Le modèle progresse en raisonnement et en code, accepte désormais les images et peut tourner sur des GPU situés dans l'Union européenne. Flower met en avant des traces de raisonnement lisibles et la propriété des sorties par le client.

Mots-clés :#Flower#Endeavor#LLM#UE

NorthCUA : des agents open source de pilotage d'ordinateur en trois tailles

NorthCUA sort en versions 9B, 35B et 397B basées sur Qwen3.5, avec son framework d'exécution. Selon le rapport, la version Pro dépasse Qwen3.8-Max et Kimi-K3 sur OSWorld-Verified et WebArena-Verified.

Mots-clés :#NorthCUA#agents#open source

Pruna publie P-H3-Image, un modèle d'images à poids ouverts

Ce modèle de génération et d'édition d'images est dérivé du modèle vidéo MiniMax H3. Sa licence exclut les États-Unis, l'UE, le Royaume-Uni et la Corée du Sud sans accord séparé avec MiniMax.

Mots-clés :#Pruna#MiniMax#image#open weights

Traversal lève 120 M$ à 1 Md$ de valorisation

La startup new-yorkaise développe des agents IA d'ingénierie de fiabilité (SRE) pour les systèmes de production des entreprises.

Mots-clés :#Traversal#levée de fonds#SRE#IA

Tutor Intelligence lève 75 M$ menés par Andreessen Horowitz

La startup utilisera ces fonds pour développer son activité de robotique industrielle.

Mots-clés :#robotique#a16z#levée de fonds

Vercel CI fonctionne sans projet lié, et la CLI gagne vercel doctor

La commande vercel ci enable active la CI sur un dépôt GitHub privé sans créer de projet Vercel. La nouvelle commande vercel doctor vérifie la configuration de la CLI et propose les corrections.

Mots-clés :#Vercel#CI#CLI

Vercel Security Review passe en bêta publique

Pour les équipes Pro et Enterprise, chaque push vers un dépôt GitHub connecté est analysé automatiquement à la recherche de vulnérabilités, avec les résultats dans un tableau de bord dédié.

Mots-clés :#Vercel#sécurité#GitHub

Zyxel NWA110AX : dépassement de tampon permettant une élévation de privilèges

Un dépassement de tampon dans le composant zdp_wtp des points d'accès Zyxel NWA110AX, jusqu'au micrologiciel 7.12(ABTG.0)C0, permet à un attaquant présent sur le réseau local d'élever ses privilèges sur l'appareil. Zyxel a publié un avis de sécurité couvrant plusieurs points d'accès et routeurs.

Mots-clés :#Zyxel#point d'accès#dépassement de tampon

Zyxel GS1900 : exécution de commandes sans authentification via le CGI

Une écriture hors limites dans le programme CGI des commutateurs Zyxel GS1900-24E (firmware jusqu'à 2.90(AAHK.2)C0) pourrait permettre à un attaquant non authentifié situé sur le réseau adjacent d'exécuter des commandes système via une requête HTTP forgée. Zyxel a publié un avis de sécurité le 3 novembre.

Mots-clés :#Zyxel#commutateur#exécution de commandes

GitHub Actions bloquera pull_request_target par défaut dès le 2 décembre

Dans les dépôts publics, l'événement pull_request_target sera bloqué sauf si une politique d'événements Actions l'autorise explicitement. Les dépôts privés et internes ne sont pas concernés.

Mots-clés :#GitHub Actions#sécurité#CI

42AI sort de l'ombre avec 62,5 M$ et un modèle de comportement humain

La startup israélienne développe un « modèle de monde comportemental » testé chez des courtiers pour anticiper les réactions des traders. Le financement provient surtout des fondateurs et d'Infinity Group.

Mots-clés :#levée de fonds#IA#Israël

Anthropic amende son S-1 : 17 Md$ de revenus au T3 et une perte opérationnelle

Le S-1/A du 2 novembre affiche 17,0 Md$ de revenus au troisième trimestre, une perte opérationnelle de 567 M$ et 895,4 Md$ d'engagements de calcul. Le prix et le nombre d'actions restent non renseignés. Anthropic indique pouvoir atteindre bientôt un seuil de sa politique RSP lié à l'accélération de sa propre recherche par l'IA.

Mots-clés :#Anthropic#IPO#S-1

Cloudflare Workers passe au nouveau registre de modules le 17 novembre

Les Workers JavaScript avec une date de compatibilité au 2026-11-17 ou plus utiliseront le nouveau registre par défaut. Il permet notamment require() sur des ES modules et import.meta.

Mots-clés :#Cloudflare#Workers#JavaScript

Control Web Panel : injection de commandes critique dans le module de répertoires protégés

Une faille d'injection de commandes dans le module protected_directory de Control Web Panel (CWP) permet d'exécuter des commandes arbitraires sur le serveur, la saisie de l'attaquant étant transmise directement à un appel shell. Les versions antérieures à la 1.16 sont concernées et plusieurs autres failles de CWP ont été publiées le même jour.

Mots-clés :#CWP#injection de commandes#hébergement web

Extension WordPress s2Member : exécution de code à distance via le paramètre item_name

Un filtrage insuffisant dans l'extension s2Member pour WordPress permet de réassembler une balise PHP valide dans un modèle d'e-mail et d'exécuter du code sur le serveur. L'exploitation nécessite un compte authentifié disposant au minimum d'un niveau d'accès personnalisé.

Mots-clés :#WordPress#extension#exécution de code

Les ETF bitcoin perdent 643 M$, plus forte sortie depuis juin

Les ETF bitcoin spot américains ont enregistré 643,3 M$ de sorties nettes vendredi, menées par IBIT et FBTC. Cela efface environ 64 % des entrées nettes de l'année.

Mots-clés :#bitcoin#ETF#flux

Les projets Vercel peuvent être configurés avec vercel.toml

Le format TOML reprend toutes les propriétés de vercel.json, avec les commentaires et une structure plus plate. Un seul fichier de configuration est autorisé par projet.

Mots-clés :#Vercel#TOML#configuration

Meituan lance LongCat-2.5, un modèle multimodal de 1 600 Md de paramètres

Conçu pour les tâches d'agents longues et le code, LongCat-2.5 a été entraîné entièrement sur des puces chinoises. Il est accessible sur longcat.ai et via une API.

Mots-clés :#Meituan#LongCat#modèle#Chine

Northwood Space lève 375 M$ à 2 Md$ de valorisation

La série C est co-menée par Andreessen Horowitz et DFJ Growth. Northwood fabrique des antennes et logiciels pour les communications entre satellites et la Terre.

Mots-clés :#levée de fonds#spatial#a16z

python-jose : des jetons JWT falsifiables lorsqu'une clé HMAC est vide

La bibliothèque python-jose, jusqu'à la version 3.5.0, accepte des secrets HMAC de longueur nulle. Lorsqu'une application se retrouve avec une clé de vérification vide, un attaquant non authentifié peut forger des jetons JWT aux revendications arbitraires qui seront acceptés.

Mots-clés :#Python#JWT#authentification

ReadyMedia (MiniDLNA) : débordement de pile via un fichier audio DFF piégé

Les versions 1.3.0 à 1.3.3 du serveur multimédia ReadyMedia, anciennement MiniDLNA, présentent un débordement de pile lors de l'analyse d'un fichier DFF malveillant. Il suffit qu'un tel fichier soit déposé dans un répertoire surveillé pour provoquer une exécution de code ou un plantage ; ce logiciel est notamment intégré à certains routeurs.

Mots-clés :#MiniDLNA#débordement de pile#routeurs

Strategy achète 811 BTC et détient 849 327 BTC

Strategy a dépensé 65,5 M$ pour 811 BTC entre le 26 octobre et le 1er novembre, à environ 80 846 $ par bitcoin.

Mots-clés :#Strategy#bitcoin#trésorerie

Trajectory lève 45 M$ pour l'apprentissage continu des modèles IA

La série A, menée par Sequoia avec Nvidia, valorise la startup 300 M$. Sa plateforme réentraîne des modèles open source à partir des retours collectés dans les applications.

Mots-clés :#levée de fonds#IA#Sequoia

Vercel bloque les paquets npm malveillants pendant les builds

Vercel vérifie désormais les lockfiles avant l'installation et bloque les téléchargements npm de versions listées comme malveillantes ou vulnérables. La protection s'applique à tous les plans sans configuration.

Mots-clés :#Vercel#npm#sécurité

Binance enregistre 3,64 Md$ de sorties nettes à la réouverture des retraits

Le 1er novembre, Binance a traité 4,65 Md$ de retraits pour 1,01 Md$ de dépôts. L'exchange dit avoir couvert environ 95 % des 6,3 Md$ volés lors du piratage.

Mots-clés :#Binance#piratage#retraits

Kalshi lève 1 Md$ à 40 Md$ de valorisation

La plateforme de marchés de prédiction a bouclé une série G menée par Wellington et Sequoia. Elle veut développer l'adoption institutionnelle, l'accès international et de nouveaux produits comme des indices et des contrats perpétuels sur actions.

Mots-clés :#Kalshi#levée de fonds#marchés de prédiction

1,57 Md$ de liquidations sur les futures crypto après le piratage de Binance

Les liquidations ont été multipliées par quatre, à 1,57 milliard de dollars, et le BNB a perdu 6,2 %. Environ 3 milliards de dollars des fonds volés sont gelés, et TRM Labs et Elliptic attribuent l'attaque à la Corée du Nord.

Mots-clés :#liquidations#Binance#BNB

Cloudflare : les Durable Objects diffèrent les mises à jour de code par défaut

Lors d'un déploiement, un Durable Object actif peut garder son code actuel jusqu'à 5 minutes pour terminer le travail en cours, et les WebSockets en hibernation restent connectés. Le délai est configurable dans Wrangler.

Mots-clés :#Cloudflare#Durable Objects#Wrangler

DiffuSpace publie Clover-35B-A3B, un modèle de langage par diffusion open source

Clover-35B-A3B-Preview est un modèle MoE par diffusion de 35 milliards de paramètres dont 3 milliards actifs, publié sous licence Apache. DiffuSpace le dit plus rapide et meilleur que Qwen3.6-35B-A3B sur plusieurs benchmarks.

Mots-clés :#open source#diffusion#LLM

Faille Nuxt Image et IPX : Cloudflare publie une règle WAF d'urgence

Cloudflare a ajouté à son Managed Ruleset une règle, désactivée par défaut et à couverture partielle, contre une vulnérabilité de Nuxt Image et IPX. L'éditeur recommande de suivre l'avis de sécurité et de mettre à jour.

Mots-clés :#Nuxt#WAF#vulnérabilité

Intel chute d'environ 30 %, sa pire séance depuis 1974

Intel prévoit 15 à 16 milliards de dollars de chiffre d'affaires au quatrième trimestre, bien sous les attentes, en raison d'un marché PC affaibli par la flambée du coût de la mémoire. La chute a entraîné une déroute mondiale des valeurs des semi-conducteurs.

Mots-clés :#Intel#semi-conducteurs#bourse

Le bitcoin résiste mieux que d'habitude au piratage de Binance

Le bitcoin s'échangeait vers 77 000 dollars vendredi, en baisse d'environ 4 %, contre un recul moyen de 8,3 % dans les 24 heures suivant les précédents piratages de plateformes. Les analystes soulignent que le réseau Bitcoin lui-même n'a pas été touché.

Mots-clés :#bitcoin#Binance#marché

n8n : des nœuds obsolètes permettent d'exécuter du code hors isolation

Dans la plateforme d'automatisation n8n, les anciens nœuds Function, Function Item et LangChain Code s'exécutent en dehors de l'isolation prévue. Un utilisateur authentifié autorisé à créer ou importer des workflows peut ainsi exécuter du JavaScript dans le processus principal ; les versions 2.42.6, 2.43.3 et 3.0.1 corrigent le problème.

Mots-clés :#n8n#automatisation#exécution de code

OpenAI va respecter un signal commun robots.txt sur l'entraînement IA

OpenAI honorera un signal partagé dans robots.txt permettant aux sites d'exprimer leur préférence sur l'entraînement des IA auprès de plusieurs fournisseurs à la fois. Issu des travaux de l'IETF, il doit être mis en œuvre dans les prochains mois.

Mots-clés :#OpenAI#robots.txt#IETF

SQLite : un dépassement de tampon dans le module de recherche FTS5

Avant la version 3.54.0, SQLite compilé avec le module de recherche plein texte FTS5 peut écrire hors de la mémoire allouée lors de certaines requêtes de recherche par préfixe. Un attaquant capable de remplir une table FTS5 spécifique peut corrompre la mémoire et faire planter l'application.

Mots-clés :#SQLite#base de données#corruption mémoire

Une fausse extension Claude Code diffusée sur la marketplace de Cursor

Une version piégée de l'extension Claude Code, dotée d'une porte dérobée, est restée environ 11 heures sur la marketplace de Cursor et a été téléchargée par au plus 5 000 utilisateurs. Anthropic affirme que ses systèmes n'ont pas été compromis et Cursor a publié des étapes de remédiation.

Mots-clés :#Cursor#Claude Code#sécurité#supply chain

Vercel fusionne Data Cache dans Runtime Cache

Data Cache sort de bêta et rejoint Runtime Cache, avec de meilleures performances sous charge et 8 à 10 fois plus de stockage de cache par projet. Les Vercel Daemons gagnent aussi des liveness checks HTTP et l'accès aux services par bindings.

Mots-clés :#Vercel#cache#Daemons

Canva dévoile Brush, un modèle vision-langage pour éditer des designs

Développé par Canva Research, Brush comprend la structure d'un design et applique les modifications demandées dans Canva AI, d'abord pour les abonnés Pro. Canva annonce des éditions jusqu'à 69 % plus rapides.

Mots-clés :#Canva#design#VLM

Cohere annonce une série E visant jusqu'à 7 Md$ canadiens

Cohere a annoncé le premier closing d'une série E visant jusqu'à 7 milliards de dollars canadiens, pour une valorisation de 35,7 milliards, menée par Schwarz Group avec l'entrée du gouvernement du Canada. Le montant déjà engagé n'a pas été communiqué.

Mots-clés :#Cohere#IA souveraine#levée de fonds

Langflow : exécution de code à distance via le courtier de messages

Les versions 1.0.0 à 1.12.3 de Langflow, outil de création de workflows d'IA, désérialisent sans contrôle des données reçues par le courtier de messages, ce qui permet à un attaquant capable de le joindre d'exécuter du code sur le serveur. IBM a publié le même jour plusieurs autres correctifs pour Langflow.

Mots-clés :#Langflow#IA#exécution de code

ZITADEL : prise de contrôle de comptes via l'interface de connexion

Dans le gestionnaire d'identités ZITADEL, de la version 4.0.0 à la version 4.19.5 exclue, un attaquant non authentifié peut forger un cookie de vérification de l'interface Login V2. Il peut alors définir le premier mot de passe ou la première clé d'accès d'un utilisateur qui n'en a pas encore, et prendre le contrôle du compte.

Mots-clés :#ZITADEL#authentification#prise de contrôle

Alphabet chute de 13 %, sa pire séance boursière depuis l'introduction

Le groupe a perdu environ 500 Md$ de capitalisation après un flux de trésorerie disponible de -9,07 Md$ au troisième trimestre, lié aux dépenses IA. Alphabet maintient ses prévisions d'investissement.

Mots-clés :#Alphabet#Bourse#résultats

Binance confirme un piratage d'environ 6,3 Md$, le plus gros de l'histoire

Un ordinateur d'ingénieur DevOps compromis aurait permis des retraits non autorisés ; environ 3 Md$ ont été gelés et Binance couvrira les pertes via son fonds SAFU. TRM Labs attribue l'attaque au groupe nord-coréen TraderTraitor.

Mots-clés :#Binance#piratage#Corée du Nord

Cloudflare Agents SDK : les Agent Skills deviennent des fichiers

Avec Agents SDK v0.32.0 et Think v0.23.0, un dossier contenant un SKILL.md dans le workspace de l'agent ou un bucket R2 suffit, sans build ni déploiement. Le changement est cassant pour le code utilisant agents/skills directement.

Mots-clés :#Cloudflare#agents#skills

Le bitcoin tombe sous 77 000 $ après le piratage de Binance

Déjà sous 80 000 $ après la Fed et les résultats tech, le bitcoin recule d'environ 5 % sur 24 heures, à son plus bas depuis plus d'un mois. BNB, XRP et SOL perdent entre 7 et 8 %.

Mots-clés :#bitcoin#marché#Binance

Microsoft Edge : plusieurs failles permettant l'exécution de code à distance

Microsoft a publié le 29 octobre une série de correctifs pour Edge (basé sur Chromium), dont cette faille de double libération de mémoire qui permet à un attaquant d'exécuter du code à distance. Plusieurs autres failles de débordement de tampon et d'utilisation de mémoire libérée, notées 8,8, sont corrigées dans la même mise à jour.

Mots-clés :#Microsoft#Edge#navigateur

Mintive lève 7 M$ pour gérer l'identité des agents IA en entreprise

Fondée par un ancien de Coursera et un co-créateur de TensorFlow, Mintive totalise 11 M$ levés avec Cowboy Ventures et Coatue, plus Jeff Dean et Andrej Karpathy en business angels. Elle revendique plus de 50 clients entreprises.

Mots-clés :#Mintive#seed#agents IA#identité

Mistral publie Large 4, son modèle ouvert orienté code et cybersécurité

Après une préversion publique, Mistral rend disponible la version finale de Large 4, présentée comme le meilleur modèle à poids ouverts pour le code. Il progresse sur les tâches de cyberdéfense et peut tourner sur l'infrastructure des entreprises.

Mots-clés :#Mistral#open weights#code#cybersécurité

Pika lance H3 Flex, un modèle vidéo à poids ouverts

Post-entraîné sur MiniMax H3, Pika H3 Flex génère en 6 étapes au lieu de 50 et accepte jusqu'à 12 références, avec audio synchronisé. Les poids et le code d'inférence sont publiés ; l'intégration à l'app Pika est prévue le 2 novembre.

Mots-clés :#Pika#vidéo#open weights

QNAP Hybrid Backup Sync : une clé cryptographique codée en dur

L'application de sauvegarde HBS 3 Hybrid Backup Sync des NAS QNAP utilise une clé cryptographique codée en dur, ce qui pourrait permettre à un attaquant distant de compromettre la sécurité du système. QNAP corrige cette faille, ainsi que la faille similaire CVE-2025-62841, à partir de la version 26.4.0.521.

Mots-clés :#QNAP#NAS#sauvegarde

Veeam Management Pack : exécution de code à distance sans authentification

Veeam a publié le 29 octobre un bulletin corrigeant une faille qui permet à un attaquant non authentifié d'exécuter du code sur les serveurs exécutant le service Veeam Virtualization Extensions de Veeam Management Pack pour Microsoft System Center. Le même bulletin corrige deux autres failles d'exécution de code, dont CVE-2026-107238, exploitable par un utilisateur du domaine avec les droits LocalSystem.

Mots-clés :#Veeam#System Center#exécution de code

Vercel Firewall distingue désormais crawlers IA et assistants IA

Le ruleset managé AI Bots permet de journaliser ou bloquer séparément les robots d'indexation IA et les assistants IA, par exemple bloquer les crawlers tout en laissant passer les assistants. La fonction est disponible sur tous les plans et via la CLI.

Mots-clés :#Vercel#firewall#bots IA

Wabi lève 55 M$ et devient une licorne à 1,25 Md$

L'agent personnel fondé par Eugenia Kuyda, créatrice de Replika, génère des mini-apps à la demande. Le tour est mené par IVP avec a16z, Forerunner et l'Alexa Fund d'Amazon.

Mots-clés :#Wabi#levée de fonds#agents IA

FUXA : une requête HTTP non authentifiée suffit à exécuter du code

Ce logiciel open source de supervision industrielle (SCADA/HMI) présente, dans sa fonctionnalité /nodered, un contournement d'autorisation qui permet d'exécuter du code arbitraire au moyen d'une simple requête HTTP non authentifiée. La faille a été découverte par Cisco Talos et touche la version 1.3.2-2809.

Mots-clés :#industriel#SCADA#exécution de code

FreeSWITCH : exécution de commandes via un message SIP, faille exploitée

Jusqu'à la version 1.11.2, un simple message SIP MESSAGE entrant permet de choisir et d'exécuter des commandes de l'API FreeSWITCH, et donc des commandes système, avec la configuration par défaut. L'avis de l'éditeur date du 28 octobre ; la nouveauté est l'ajout de la faille au catalogue CISA des vulnérabilités activement exploitées le 9 novembre. La version 1.11.3 la corrige.

Mots-clés :#FreeSWITCH#VoIP#SIP#exploitation active

Pare-feu Cisco ASA et FTD : une faille VPN exploitée pour redémarrer les équipements

Un attaquant distant non authentifié peut provoquer le redémarrage d'un pare-feu Cisco ASA ou FTD en envoyant une requête piégée au service VPN SSL d'accès distant, lorsqu'une authentification secondaire est configurée. La CISA l'a ajoutée dès le 29 octobre à son catalogue des failles activement exploitées, avec une échéance de correction au 1er novembre.

Mots-clés :#Cisco#pare-feu#VPN#exploitation active

Bruxelles valide 319 M€ d'aide pour l'usine Infineon de Villach

La Commission européenne approuve l'aide d'État autrichienne destinée à faire du site de Villach la première usine de production en volume de semi-conducteurs de nouvelle génération.

Mots-clés :#semi-conducteurs#Infineon#UE

Circle demande à la SEC d'aligner ses règles crypto sur le GENIUS Act

Dans ses commentaires sur le projet Regulation Crypto Assets, Circle demande que les stablecoins conformes au GENIUS Act soient traités comme du cash et que la décote de 2 % imposée aux brokers passe à zéro. Le texte de la SEC reste à l'état de proposition.

Mots-clés :#Circle#stablecoins#SEC#régulation

Cloudflare Agents SDK : prévisualiser un serveur de dev sans URL publique

La version 0.31.0 permet au navigateur d'un agent d'ouvrir des noms d'hôte internes comme preview.internal, routés vers l'agent plutôt que vers Internet. Un agent peut ainsi vérifier son site dans un sandbox sans rien exposer.

Mots-clés :#Cloudflare#agents#SDK#dev

GitHub Agentic Workflows passe en disponibilité générale

Les automatisations comme le tri d'issues, l'analyse des échecs CI ou l'écriture de tests se décrivent en Markdown puis sont compilées en YAML GitHub Actions. Elles tournent avec Copilot ou un autre agent, dans un conteneur isolé et en lecture seule par défaut.

Mots-clés :#GitHub#Actions#agents#CI

Google dévoile Gemini 4 Carbon, son modèle le plus puissant

Gemini 4 Carbon cible la cybersécurité et les tâches longues et prend la tête de l'indice Artificial Analysis avec un score de 59. Il est d'abord réservé à des défenseurs cyber via le programme Fairwind, avec un prix de lancement de 2 $ par million de tokens en entrée et 10 $ en sortie.

Mots-clés :#Google#Gemini#cybersécurité#LLM

JPMorgan, Coca-Cola et Dell refusent la plateforme d'actions tokenisées OKX-ICE

Trente des 62 sociétés initialement prévues, soit environ 48 %, se sont opposées à la cotation de leurs actions tokenisées sur la coentreprise d'OKX et d'ICE. La plateforme prévoit un trading 24 h/24 réglé en stablecoins sous l'Innovation Exemption de la SEC.

Mots-clés :#tokenisation#OKX#ICE#SEC

Juniper Session Smart Router : prise de contrôle administrateur sans authentification

Un attaquant non authentifié peut obtenir les privilèges administrateur en envoyant des paramètres d'URL piégés à un point d'accès exécuté en root, tant que l'appareil n'a pas été rattaché à Mist ou à Conductor. Le même bulletin corrige une injection de commandes notée 9,8 dans Session Smart Conductor (CVE-2026-103406).

Mots-clés :#Juniper#routeur#contournement d'authentification

La Fed maintient ses taux, le bitcoin reste vers 81 000 $

La Fed garde ses taux à 3,75 %-4 % par 10 voix contre 2, deux votants souhaitant une hausse. Le bitcoin a peu réagi, autour de 81 000 $, et une hausse en décembre reste largement anticipée.

Mots-clés :#bitcoin#Fed#taux

Le harness d'agent fx de Vercel arrive dans T3 Code

fx, le harness open source d'agent de code de Vercel, est disponible comme fournisseur dans T3 Code sur web, desktop et mobile, avec les modes Supervised et Auto.

Mots-clés :#Vercel#fx#T3 Code#agents

Mistral publie Timestral, des modèles de prévision de séries temporelles

La famille compte quatre modèles de 5M à 209M paramètres, en tête des benchmarks GIFT-Eval, TIME et fev-bench et exécutables sur CPU. La licence MIT modifiée impose un accord payant au-delà de 20 M$ de revenu mensuel.

Mots-clés :#Mistral#séries temporelles#open weights

Particle lance Particle-1, un modèle de code économe en tokens

Post-entraîné sur DeepSeek V4.1 Flash, Particle-1 utilise environ 45 % de tokens en moins en moyenne. Cette première version vise le génie logiciel et est disponible via l'API de Particle.

Mots-clés :#Particle#DeepSeek#code#startup

Upwind lève 400 M$ après avoir écarté une offre de Datadog

La startup de sécurité cloud par IA lève une série C de 400 M$ à 3,8 Md$ de valorisation, menée par Bessemer. Elle a choisi de rester indépendante, l'offre de Datadog n'offrant pas de prime sur cette valorisation.

Mots-clés :#levée de fonds#cybersécurité#cloud

63 Md$ de financement pour fournir des puces Broadcom à Anthropic

Bank of America, Blackstone, Citi et Morgan Stanley financent une structure dédiée qui achètera des accélérateurs XPU et du réseau Broadcom pour les louer à Anthropic. Les livraisons doivent débuter en 2027.

Mots-clés :#Broadcom#Anthropic#financement

La CFTC poursuit l'Utah pour protéger les marchés de prédiction

Le régulateur américain veut empêcher l'État de fermer, en vertu de son droit local, des marchés de prédiction enregistrés au niveau fédéral, après la plainte de l'Utah contre Kalshi.

Mots-clés :#CFTC#Kalshi#régulation

Le bitcoin remonte vers 81 000 $ avant la Fed, le ZEC bondit de 8 %

Le bitcoin a gagné près de 2 % avant la décision de la Réserve fédérale, après un repli vers 79 000 $ le week-end. Galaxy estime que le marché baissier a pris fin en juin.

Mots-clés :#bitcoin#Fed#Zcash

Liquid AI publie LFM3, des petits modèles multimodaux pour appareils d'entreprise

La famille LFM3 couvre langage, vision, audio et décision avec des modèles d'environ 2 milliards de paramètres, personnalisables sur un seul GPU et déployables sur appareil, serveur privé ou cloud.

Mots-clés :#Liquid AI#LFM3#edge

Rank Math SEO pour WordPress : injection d'objet PHP menant à une prise de contrôle

Jusqu'à la version 1.0.276, cette extension WordPress très répandue désérialise des données non fiables dans un point d'accès de son API REST. Un utilisateur disposant au moins du rôle de contributeur peut ainsi déposer un webshell et exécuter du code sur le serveur.

Mots-clés :#WordPress#extension#exécution de code

CMS REDAXO : contournement d'authentification menant à l'exécution de code

Des versions 5.3.0 à 5.21.3, l'extension d'historique de REDAXO permet à un attaquant non authentifié de forger des jetons de connexion temporaires, notamment pour un compte administrateur, et d'accéder ainsi à l'interface d'administration avec la possibilité d'exécuter du code. La version 5.21.4 corrige le problème.

Mots-clés :#CMS#PHP#contournement d'authentification

Adobe Campaign Classic : injection SQL critique notée 10 sur 10

Adobe a corrigé plusieurs failles critiques dans Campaign Classic, dont cette injection SQL exploitable sans interaction de l'utilisateur, qui peut mener à l'exécution de code arbitraire. Le même bulletin corrige d'autres injections SQL, de code et de commandes système.

Mots-clés :#Adobe#injection SQL#marketing

Adobe Connect : injection de code critique corrigée

Une faille d'injection de code dans Adobe Connect peut permettre l'exécution de code arbitraire lorsqu'une victime visite une URL piégée ou une page compromise. Adobe a publié un correctif.

Mots-clés :#Adobe#visioconférence#exécution de code

General Compute lève 100 M$ à 800 M$ de valorisation

La startup bâtit un cloud d'inférence sur des puces SambaNova, Cerebras et Positron. Sa série A est menée par Blackbird Ventures et Abstract Ventures.

Mots-clés :#inférence#cloud#levée

GitHub Copilot accepte l'authentification serveur à serveur pour les agents

En preview publique, les services construits avec le Copilot SDK peuvent agir pour une organisation via une GitHub App, sans identifiants utilisateur. L'usage est facturé à l'organisation et soumis à ses politiques et budgets.

Mots-clés :#GitHub#Copilot#agents

Google DeepMind dévoile Genie 4, un modèle de monde interactif avec audio natif

Genie 4 génère des simulations interactives en temps réel, pilotables en langage naturel, avec sons d'ambiance, musique et dialogues. Il est d'abord ouvert à des testeurs, puis aux abonnés Google AI Ultra et à des partenaires de l'API Gemini.

Mots-clés :#Google DeepMind#Genie 4#modèle de monde

Google lance A2UI Express pour accélérer les interfaces générées par agents

Ce format d'inférence réduit jusqu'à 3 fois la latence et les tokens par rapport au JSON direct, et jusqu'à 80 fois avec des modèles de décision. Il est disponible dans les SDK Python, TypeScript et Dart.

Mots-clés :#Google#A2UI#UI générative

Infisical lève 40 M$ pour sécuriser les accès des agents IA

La série B, menée par Elad Gil, valorise Infisical à 600 M$. L'entreprise gère secrets, accès et certificats et veut étendre son offre aux agents IA.

Mots-clés :#Infisical#sécurité#levée

Le plugin Vercel arrive dans OpenCode

Le plugin apporte des skills sur l'AI SDK, Functions et Workflow, des agents spécialisés et des commandes de déploiement et de gestion des variables d'environnement. Il nécessite OpenCode 2.

Mots-clés :#Vercel#OpenCode#plugin

Microsoft Edge : une double libération de mémoire permet l'exécution de code

Microsoft a corrigé dans son navigateur Edge, basé sur Chromium, une faille de double libération de mémoire qui permet à un attaquant non autorisé d'exécuter du code à distance. D'autres failles de confusion de type ont été corrigées en même temps.

Mots-clés :#navigateur#Microsoft#exécution de code

Microsoft lance MAI Image 2.7, modèle d'édition d'images en preview

Le nouveau modèle d'édition d'images de Microsoft AI débute à la 3e place d'Arena Edit et devant GPT Image 2.5 Flare selon Artificial Analysis.

Mots-clés :#Microsoft#image#édition

Nvidia et AMD investissent 4 Md$ dans Meta

Nvidia apporte 3 Md$ et AMD 1 Md$ à la levée de 95 Md$ annoncée par Meta pour ses infrastructures IA, tout en renforçant leurs partenariats autour de Muse.

Mots-clés :#Nvidia#AMD#Meta

Anthropic dépose son S-1 pour une entrée au Nasdaq sous le ticker ANT

Le prospectus affiche 16,29 Md$ de revenus au premier semestre 2026, en hausse de 1 304 %, et 80,7 Md$ de pertes, surtout liées à la réévaluation d'obligations convertibles. Goldman Sachs et Morgan Stanley mènent l'opération.

Mots-clés :#Anthropic#IPO#Nasdaq

Bedrock Robotics lève 600 M$ pour ses pelleteuses autonomes

Cette série C co-menée par CapitalG et Emergence valorise la jeune pousse à 4,1 Md$. Ses kits de conduite autonome équipent déjà des engins sur des chantiers actifs.

Mots-clés :#levée de fonds#robotique#BTP

Cadence lance Maestro, des modèles IA pour concevoir des puces

La suite Maestro s'appuie en partie sur le modèle ouvert Nemotron de Nvidia et peut être déployée entièrement en interne par les fabricants de puces. Les premiers modèles arrivent chez des clients en accès anticipé au quatrième trimestre.

Mots-clés :#Cadence#Nvidia#semi-conducteurs

Dolibarr ERP CRM : injection de commandes système dans l'outil d'export

Avant la version 24.0.0, un administrateur authentifié peut contourner la liste d'autorisation restrict_os_commands dans la page d'export de la base de données et exécuter des commandes système avec les droits du serveur web. La mise à jour vers la version 24.0.0 corrige la faille.

Mots-clés :#ERP#injection de commandes#PHP

Le bitcoin oscille autour de 80 000 $ avant la décision de la Fed

Les traders réduisent leur risque avant la réunion de la Fed de mercredi, après 772 M$ de sorties des ETF bitcoin au comptant jeudi et vendredi. Arthur Hayes a indiqué que son fonds Maelstrom avait soldé tout son portefeuille directionnel.

Mots-clés :#bitcoin#Fed#ETF

Le Canada consulte sur ses règles stablecoins et interdit les rendements

Le projet impose des réserves 1:1 dans des établissements canadiens, un rachat sous trois jours ouvrés et des frais plafonnés à 1 %, et interdit de verser des intérêts. La consultation court jusqu'au 23 décembre.

Mots-clés :#stablecoins#Canada#régulation

Microsoft propose des départs volontaires à environ 60 000 salariés

L'offre concerne des salariés éligibles aux États-Unis, au Canada, en Inde et au Royaume-Uni. Ils devront se décider début décembre pour un départ d'ici le 31 décembre.

Mots-clés :#Microsoft#emploi#IA

Mirendil dévoile Fern 0.1, un modèle à 10 millions de tokens de contexte

Premier modèle de Mirendil, Fern est entraîné de zéro et peut tenir jusqu'à 10 millions de tokens en contexte, de quoi suivre de longues tâches d'agents.

Mots-clés :#LLM#contexte long#agents

OpenAI lance GPT-6.1 Terra, un modèle rapide et moins cher

GPT-6.1 Terra mise sur l'usage de l'ordinateur, le raisonnement visuel et le code, avec des prix API 50 % plus bas que GPT-5.6 Terra. Il est disponible dans ChatGPT Work, Codex, l'API et Amazon Bedrock.

Mots-clés :#OpenAI#GPT-6.1#modèle

OpenHands Software Agent SDK : exécution de code à distance sans authentification

Avant la version 1.52.0, les lanceurs DockerWorkspace et Apptainer exposent le serveur d'agent du bac à sable sur toutes les interfaces réseau sans clé d'API, ce qui désactive l'authentification par défaut. Un attaquant capable d'atteindre le port peut exécuter des commandes en tant que root dans le bac à sable et lire les secrets stockés en clair. La version 1.52.0 corrige le problème.

Mots-clés :#IA#exécution de code#conteneurs

PHP2Shell : exécution de code confirmée, la CISA ajoute les failles au KEV

Une exécution de code à distance via CVE-2026-109618 et CVE-2026-109619 a été confirmée sur un serveur Apache mod_php. La CISA les a ajoutées à son catalogue des failles exploitées et recommande PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35.

Mots-clés :#PHP#sécurité#CVE

Siri AI arrive en français avec iOS et macOS 27.2

La nouvelle Siri, en bêta, est désormais disponible en français, japonais, coréen, portugais et espagnol. Elle reste indisponible dans l'UE sur iPhone, iPad et Apple Watch.

Mots-clés :#Apple#Siri#iOS 27.2

ImageMagick : dépassement de pile lors du décodage d'images compressées en bzip2

Un dépassement de tampon dans la pile affecte ImageMagick avant les versions 6.9.13-58 et 7.1.2-33 lors du traitement d'images compressées en bzip2. Une image piégée peut provoquer un plantage ou une corruption mémoire, ce qui concerne les nombreux services web qui traitent des images envoyées par les utilisateurs.

Mots-clés :#traitement d'images#corruption mémoire#open source

Snipe-IT : rejeu d'assertions SAML permettant d'usurper des sessions

Avant la version 8.5.0, une vérification non atomique du nonce dans le gestionnaire SAML permet de réutiliser une assertion capturée via des requêtes simultanées. L'attaquant peut ainsi obtenir plusieurs sessions authentifiées de la victime qui échappent à la révocation par le fournisseur d'identité.

Mots-clés :#SAML#authentification#gestion de parc

vLLM : falsification de requêtes côté serveur via l'en-tête X-Request-Id

Les versions 0.9.2 à 0.23.x de vLLM permettent à un appelant de l'API de forcer des connexions sortantes vers un hôte contrôlé par l'attaquant en insérant une adresse dans l'en-tête X-Request-Id. Cela peut entraîner la fuite de données internes (identifiant NCCL, tenseurs du cache KV) ou bloquer le worker. La version 0.24.0 corrige la faille.

Mots-clés :#IA#SSRF#fuite de données

Whop lève 200 M$ à 5,1 Md$ de valorisation

La plateforme de vente de produits numériques boucle une série D menée par Sequoia et Shopify Ventures.

Mots-clés :#Whop#levée de fonds

Block dévoile Dessa, un modèle vocal full-duplex qui tourne en local

Entraîné uniquement sur de la parole, Dessa peut parler et écouter en même temps et fonctionne sur un MacBook M4 Max ou mieux. Il n'est pas encore accessible au public : Block l'ouvre d'abord à des chercheurs en sécurité.

Mots-clés :#Block#voix#modèle local

Extension WordPress Prime Mover : injection d'objet PHP critique sans authentification

Les versions jusqu'à 2.2.1 incluse de l'extension de sauvegarde et de migration Prime Mover désérialisent des données non fiables lors d'un export ou d'une restauration. Un attaquant non authentifié peut déposer un objet malveillant via un simple commentaire, qui s'exécute lorsqu'un administrateur lance ensuite une opération Prime Mover.

Mots-clés :#WordPress#injection d'objet#critique

Gemini 4 Argon optimise seul le code Python de l'ADK de Google

En 11 heures sans surveillance, l'agent a fait accepter deux optimisations : -40 % sur la préparation des sessions et -21 % sur le temps d'import. Quatre autres propositions ont été rejetées en revue.

Mots-clés :#Google#agents#Python

Keystone signale une fuite de données clients via son site

Noms, contacts, adresses de livraison et commandes ont été exposés. Ni clés privées ni phrases de récupération ne sont concernées, mais l'entreprise met en garde contre de faux remboursements.

Mots-clés :#Keystone#fuite de données#wallet

Le bitcoin passe sous 80 000 $, au plus bas depuis plus d'un mois

Le bitcoin est tombé vers 79 700 $ samedi avec les tensions au Moyen-Orient, et plus de 810 M$ de positions ont été liquidées en 24 heures selon Coinglass.

Mots-clés :#bitcoin#marché#liquidations

open62541 (OPC UA) : dépassement de tas exploitable par un serveur malveillant

Un dépassement d'entier dans les versions 1.5.0 à 1.5.6 de la pile OPC UA open62541, très utilisée dans l'industrie, permet à un serveur malveillant de provoquer un débordement de tas chez le client. Il peut en résulter un plantage, voire l'exécution de code ; la version 1.5.7 corrige le problème.

Mots-clés :#OPC UA#industriel#dépassement de tas

VS Code 1.143 adopte le harness Copilot par défaut pour les agents

Les nouvelles sessions d'agent démarrent sur le harness Copilot et peuvent continuer en arrière-plan depuis l'éditeur ou la fenêtre Agents.

Mots-clés :#VS Code#Copilot#agents

Assistant de code Aider : commandes exécutées via un fichier de configuration piégé

Jusqu'à la version 0.86.2, l'assistant de programmation Aider charge automatiquement le fichier .aider.conf.yml d'un dépôt sans demander confirmation. Un dépôt malveillant peut y définir des commandes qui s'exécutent ensuite avec les droits de l'utilisateur.

Mots-clés :#Aider#IA#exécution de commandes

Hugging Face Datasets : exécution de code via un fichier pickle malveillant

La bibliothèque Datasets jusqu'à la version 5.1.0 charge sans validation les fichiers pickle passés au générateur « pandas », désormais obsolète. Un jeu de données piégé peut ainsi exécuter du code Python arbitraire avec les droits de la victime lorsqu'elle l'ouvre avec load_dataset.

Mots-clés :#Hugging Face#Python#désérialisation#IA

La faille Brotli « Node2Shell » touche aussi Python, Envoy, Bun et curl

La CVE-2026-111497, notée 9,2, permet une corruption mémoire via un flux Brotli piégé. Les correctifs sont Brotli 1.2.1, Node.js 22.23.4, 24.22.1 ou 26.12.1 et Bun 1.4.4, suivis d'une reconstruction des conteneurs.

Mots-clés :#sécurité#Brotli#Node.js#Python

Le Texas poursuit OpenAI et Sam Altman au nom de la protection des consommateurs

Le procureur général Ken Paxton accuse ChatGPT d'avoir été présenté comme sûr sans protéger les mineurs. Il demande notamment qu'un évaluateur indépendant valide les nouveaux modèles avant leur sortie au Texas.

Mots-clés :#OpenAI#justice#Texas

open-iscsi : lecture hors limites dans le traitement DHCPv4 d'iscsiuio

Le composant iscsiuio d'open-iscsi calcule mal la longueur des options DHCPv4 et lit au-delà de la mémoire allouée. Un attaquant présent sur le même segment réseau peut envoyer une réponse DHCP forgée pour faire planter le service ou corrompre sa configuration réseau.

Mots-clés :#Linux#open-iscsi#DHCP

OpenAI n'entraîne plus ses modèles de pointe sur l'internet en direct

Les entraînements par renforcement d'OpenAI utilisent désormais un « monde hors ligne » de pages web en cache, pour que les modèles apprennent à naviguer sans agir sur de vrais systèmes.

Mots-clés :#OpenAI#sécurité#entraînement

Affaire $LIBRA : la justice argentine classe l'enquête visant Milei

Un juge fédéral a mis hors de cause le président Javier Milei, sa sœur Karina et neuf autres personnes, estimant qu'aucune tromperie pénale n'était démontrée.

Mots-clés :#LIBRA#Argentine#justice

Cursor permet à ses agents de piloter des applications de bureau

Avec Computer Use, les agents de Cursor peuvent cliquer et taper dans des applications de bureau, dont le simulateur iOS, pour tester le logiciel qu'ils ont écrit. La fonction s'invoque dans le prompt ou se déclenche automatiquement.

Mots-clés :#Cursor#agents#computer use

iFlytek publie Spark-X2.6, entraîné sur des puces 100 % chinoises

Ce modèle MoE de 293 milliards de paramètres, dont 30 milliards actifs, gère un contexte d'un million de tokens. iFlytek met en avant ses capacités en code et en tâches agentiques.

Mots-clés :#iFlytek#open source#Chine

Le bitcoin stagne autour de 81 500 $, sous le prix de revient des ETF

Le bitcoin reste sous le coût moyen d'acquisition des ETF américains (82 313 $) alors que le Brent dépasse 116 $ le baril avant la réunion de la Fed des 27 et 28 octobre.

Mots-clés :#bitcoin#marché#Fed

Les États-Unis classent l'hélium comme matériau critique

Le département de l'Énergie cite son rôle indispensable dans la fabrication de semi-conducteurs et les risques croissants sur l'approvisionnement mondial.

Mots-clés :#hélium#semi-conducteurs#États-Unis

Les ETF bitcoin perdent 635,6 M$, plus forte sortie depuis juin

Les ETF bitcoin au comptant américains ont enregistré 635,6 M$ de sorties jeudi, menées par IBIT de BlackRock, effaçant les 528,4 M$ d'entrées de la veille.

Mots-clés :#bitcoin#ETF#flux

Moonshot lance Kimi K3.1 Pro, poids ouverts promis d'ici le 4 novembre

Disponible dans les applis et l'API Kimi, le modèle obtient 65,7 % sur Terminal-Bench 4.0 selon Moonshot, juste derrière Claude Opus 5.5. Le laboratoire dit avoir retiré les données liées aux cyberattaques avant la publication des poids.

Mots-clés :#Moonshot#Kimi#open-weight

SpaceX cherche à accéder à 80 000 sites cellulaires aux États-Unis

Selon Bloomberg, SpaceX négocie avec Crown Castle et d'autres propriétaires de pylônes pour bâtir un quatrième opérateur mobile national combinant Starlink et réseau terrestre.

Mots-clés :#SpaceX#télécoms#Starlink

DeepSeek publie DeepInfer, son moteur d'inférence, en open source

Le framework qui fait tourner DeepSeek-V4.1-Flash est publié sous licence Apache 2.0 et prend en charge les GPU Nvidia Blackwell et les puces Huawei Ascend 950. La version publique se limite à l'inférence hors ligne.

Mots-clés :#DeepSeek#inférence#open source

Xona lève 250 M$ pour sa constellation de navigation par satellite

Valorisée 2,45 Md$, la startup déploie Pulsar, un réseau en orbite basse censé offrir un positionnement au centimètre plus résistant au brouillage que le GPS. Le tour est mené par Future Ventures.

Mots-clés :#levée de fonds#spatial#GPS

Brotli : un débordement de tampon dans le décodeur exploité activement

Publiée le 22 octobre, cette faille touche les versions 1.0.3 à 1.2.0 de la bibliothèque de compression Brotli de Google et permet, via un flux compressé piégé, de corrompre la mémoire, d'en divulguer le contenu, voire d'exécuter du code. Ce qui est nouveau : la CISA l'a ajoutée le 27 octobre à son catalogue des failles exploitées. Les versions 1.0.10, 1.1.1 et 1.2.1 corrigent le problème, et Node.js a publié ses propres mises à jour.

Mots-clés :#bibliothèque#exploitation active#compression

a16z Crypto se rebaptise a16z Frontier et élargit son mandat

Le fonds d'Andreessen Horowitz investira aussi dans l'IA, la robotique et d'autres technologies émergentes, tout en continuant de soutenir la crypto.

Mots-clés :#a16z#capital-risque

DeepSeek lève environ 15 Md$ auprès de Tencent et CATL

Le laboratoire chinois a plus que doublé son objectif initial de levée, avec Tencent et CATL parmi les principaux investisseurs.

Mots-clés :#DeepSeek#levée de fonds#Chine

Arista VeloCloud Orchestrator : injection SQL exploitée, ajout au catalogue CISA

Arista a publié le 22 octobre un avis sur une injection SQL dans VeloCloud Orchestrator sur site, qui permet à tout utilisateur authentifié, même avec le rôle le plus bas en lecture seule, d'obtenir des privilèges d'opérateur et de compromettre l'hôte. L'éditeur indique que la faille est activement exploitée et que ses versions hébergées sont déjà corrigées ; les correctifs sur site sont les versions 5.2.3.18, 6.1.3.10 et 6.4.2.12. La CISA l'a ajoutée le 23 octobre à son catalogue des failles exploitées.

Mots-clés :#Arista#VeloCloud#injection SQL#exploitation active

Azure Kubernetes Configuration Service : absence d'authentification notée 10

Microsoft a publié le 22 octobre un avis sur l'absence d'authentification pour une fonction critique d'Azure Kubernetes Configuration Service, qui permet à un attaquant non authentifié d'élever ses privilèges par le réseau. La faille est notée 10 sur 10 ; Microsoft ne signale ni exploitation ni divulgation publique.

Mots-clés :#Microsoft#Azure#Kubernetes#élévation de privilèges

Bun 1.4.4 intègre bun fmt, un formateur compatible Prettier

Sur le dépôt de Prettier, bun fmt --check prend 60 ms contre 17 s pour Prettier. La version accélère aussi bun check jusqu'à 7,8 fois et migre les lockfiles Yarn Berry.

Mots-clés :#Bun#JavaScript#outillage

Microsoft Entra : faille d'authentification notée 10 dans App Proxy

Microsoft a publié le 22 octobre un avis sur une faille d'authentification dans le proxy d'application d'Azure AD (AAD App Proxy), qui permet à un attaquant non authentifié d'élever ses privilèges à distance. L'éditeur lui attribue un score CVSS de 10 et ne signale ni exploitation ni divulgation publique.

Mots-clés :#Microsoft#Entra ID#élévation de privilèges#cloud

Tractian lève 130 M$ à 1,4 Md$ de valorisation

Cette série D menée par Sapphire Ventures doit accélérer sa plateforme d'IA qui surveille les machines industrielles et anticipe les pannes.

Mots-clés :#levée de fonds#IA industrielle#licorne

Warhound, de Ben Lamm et Palmer Luckey, lève 200 M$ en seed

La startup veut améliorer génétiquement et équiper des chiens de travail militaires ; le tour la valorise 1,2 Md$.

Mots-clés :#défense#biotech#seed

1Password permet aux agents IA de se connecter sans voir les mots de passe

Avec 1Password for Agents, un agent qui arrive sur un formulaire de connexion demande l'accès, l'utilisateur approuve sur son appareil et 1Password remplit lui-même les identifiants. L'agent n'a jamais accès au mot de passe.

Mots-clés :#1Password#agents IA#sécurité

Apple crée un badge « Made for iPhone Duo » sur l'App Store

Le badge signalera les apps optimisées pour les deux écrans du pliable d'Apple, comme Netflix, Word, Outlook ou Zoom. L'iPhone Duo, à partir de 1 999 $, sort le vendredi 23 octobre.

Mots-clés :#Apple#iPhone Duo#App Store

Coinbase Ireland sanctionnée de 3,25 M€ par la Banque centrale d'Irlande

Le régulateur reproche à Coinbase Ireland des défaillances dans la protection des fonds clients et une dépendance excessive à sa maison mère américaine entre 2020 et 2025. L'amende doit encore être confirmée par la High Court.

Mots-clés :#Coinbase#régulation#Irlande

Hugging Face lance Carbon-X, un modèle ouvert pour dialoguer avec l'ADN

Ce modèle de 14 milliards de paramètres, entraîné sur des séquences génomiques et du langage naturel, tourne en local et analyse des séquences d'environ 50 000 paires de bases. Ses prédictions n'ont pas encore été validées en laboratoire.

Mots-clés :#Hugging Face#biologie#open source

Kevin Weil lance Warp Sciences avec 215 M$ pour robotiser les labos

L'ancien responsable science d'OpenAI fonde une startup qui entraîne des robots à synthétiser et tester des molécules pour la découverte de médicaments. Le tour, mené par Lightspeed, la valorise 865 M$.

Mots-clés :#levée de fonds#robotique#biotech

Le bitcoin retombe sous 82 000 $ avec la tech

Après avoir frôlé 85 000 $, le bitcoin a reculé d'environ 3 % dans le sillage des valeurs technologiques. Les jetons DeFi ont chuté plus fort et l'ether est revenu près de 2 400 $.

Mots-clés :#bitcoin#marché#DeFi

Le Nasdaq perd 2,6 % sur les doutes autour des dépenses IA

Après les résultats de Tesla et Meta, les investisseurs se sont repliés vers les valeurs défensives. Les rendements des bons du Trésor américains ont reculé de 15 à 20 points de base.

Mots-clés :#Nasdaq#marchés#IA

Les ETF bitcoin attirent 528 M$ en une journée

Les ETF bitcoin au comptant américains ont enregistré leur plus forte collecte quotidienne depuis près d'un mois, portée par IBIT et FBTC. Les ETF ether ont mis fin à cinq séances consécutives de sorties.

Mots-clés :#ETF#bitcoin#ether

OpenAI rend son API Decisions disponible pour tous

Basée sur GPT-6 Luna, l'API Decisions répond à des questions fermées (classer, router, choisir une action) jusqu'à 10 fois plus vite que Luna via l'API Responses. Elle accepte désormais jusqu'à 400 questions par requête et propose une résidence d'inférence aux États-Unis et en Europe.

Mots-clés :#OpenAI#API#GPT-6 Luna

Le bitcoin frôle 85 000 $ puis retombe vers 82 800 $

Le bitcoin a brièvement approché 85 000 $ mercredi soir avant de perdre plus de 2 000 $. Les résultats mitigés de Tesla et Meta ont ravivé les doutes sur les dépenses liées à l'IA.

Mots-clés :#bitcoin#marchés

Pigment lève 250 M$ à 2,3 Md$ de valorisation

La série E de la startup parisienne de planification par IA est menée par le Scaleup Europe Fund géré par EQT, avec un investissement prévu de Nvidia. Pigment a dépassé 100 M$ de revenus annuels récurrents.

Mots-clés :#Pigment#levée de fonds#France

BIND 9 : corruption mémoire via GSS-TSIG et deux dénis de service

L'ISC a publié le 21 octobre trois avis pour le serveur DNS BIND 9, dont CVE-2026-94300 : le rejeu de messages UDP signés GSS-TSIG peut corrompre la mémoire de named et, combiné à des requêtes forgées, potentiellement permettre l'exécution de code à distance. Deux autres failles (CVE-2026-96888 et CVE-2026-97313, CVSS 7,5) peuvent arrêter le serveur dans certaines configurations. Les correctifs sont disponibles en 9.20.30 et 9.21.27 ; l'ISC n'a pas connaissance d'une exploitation active.

Mots-clés :#BIND#DNS#corruption mémoire

Cisco Expressway : exécution de commandes en root sans authentification

Cisco a publié le 21 octobre un avis critique sur CVE-2026-76466, une faille du service de base de données d'Expressway-C et d'Expressway-E configurés en cluster, liée à des cookies persistants et à une validation insuffisante des certificats clients. Un attaquant distant non authentifié en possession de ces cookies peut exécuter des commandes en root ; aucun contournement n'existe et le correctif est inclus dans la version X15.5.20. Cisco indique ne pas avoir connaissance d'une exploitation.

Mots-clés :#Cisco#Expressway#exécution de code

GitLab : correctif d'urgence pour une faille notée 10 sur 10

GitLab a publié le 21 octobre une mise à jour critique corrigeant CVE-2026-110264, un dépassement d'entier dans le compilateur d'expressions régulières qui pouvait permettre à un utilisateur non authentifié d'exécuter du code sur le serveur. Toutes les versions depuis la 7.0 sont concernées ; les correctifs sont disponibles en 19.5.1, 19.4.3, 19.3.6 ainsi qu'en rétroportage jusqu'à la 18.11.13. GitLab.com est déjà corrigé, mais les instances auto-hébergées doivent être mises à jour sans délai.

Mots-clés :#GitLab#exécution de code#DevOps

Nvidia présente DSX POD, des usines IA livrées en conteneurs

Présentée à la GTC Berlin, cette architecture de référence assemble des systèmes Vera Rubin en usine dans des conteneurs testés avant livraison. Nvidia promet un déploiement en 14 jours au lieu de six mois, avec des livraisons début 2027.

Mots-clés :#Nvidia#data centers#GTC Berlin

PHP : deux failles critiques permettent l'exécution de code à distance

Le projet PHP a publié le 21 octobre les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35, qui corrigent CVE-2026-109618 (corruption mémoire lors d'un manque de mémoire) et CVE-2026-109619 (état global obsolète réutilisé après libération), deux failles exploitables à distance sans authentification. L'éditeur juge le risque le plus élevé pour mod_php, où une requête peut déclencher l'attaque avant l'exécution de tout code applicatif, et le CERT-FR indique le 22 octobre avoir connaissance de preuves de concept. Les versions 8.1 et antérieures ne sont plus maintenues par le projet.

Mots-clés :#PHP#exécution de code#serveurs web#preuve de concept

PHP2Shell était exploitée quatre jours avant sa divulgation

Amazon a détecté une tentative d'exploitation des failles PHP2Shell dès le 17 octobre dans son réseau de honeypots, avant la levée de l'embargo le 21. AWS recommande de faire démarrer les investigations à cette date et de mettre à jour PHP immédiatement.

Mots-clés :#PHP#sécurité#AWS

Anthropic dévoile Claude Duet, un agent IA proactif

Claude Duet envoie un brief quotidien, surveille les applications connectées et exécute des tâches pour l'utilisateur. Il démarre en préversion sur liste d'attente pour les offres Pro et Max.

Mots-clés :#Anthropic#Claude#agents

Cisco Unified CM et Unity Connection : failles critiques issues d'une revue interne

À la suite d'une revue de sécurité interne, Cisco publie des versions renforcées d'Unified Communications Manager, d'Unity Connection, d'Emergency Responder et de Prime Collaboration Deployment. Elles corrigent plusieurs failles, dont un défaut d'authentification (CVE-2026-76474) et un problème d'injection (CVE-2026-76473), toutes deux notées 9,8.

Mots-clés :#Cisco#téléphonie#authentification

DuckDB 2.0.0 LTS « Cinnamon Teal » est disponible

La plus grosse version de DuckDB à ce jour apporte des E/S asynchrones, un type VARIANT, un mode agent, des triggers et un parseur SQL extensible.

Mots-clés :#DuckDB#base de données#SQL

Flapping Airplanes lève 1 Md$ un an après sa création

Le laboratoire d'IA, qui cherche à entraîner de grands modèles avec moins de données, a levé une série A de 1 Md$ menée par Index et Lux, à une valorisation rapportée de 6 Md$.

Mots-clés :#levée de fonds#IA#startup

GitLab publie un patch de sécurité critique (19.5.1)

GitLab a publié les versions 19.5.1, 19.4.3, 19.3.6 et d'autres correctifs pour CE et EE. L'éditeur recommande de mettre à jour immédiatement toutes les instances auto-hébergées.

Mots-clés :#GitLab#sécurité#DevOps

Java SE : alerte de sécurité hors calendrier pour une faille critique de JSSE

Oracle a publié une alerte de sécurité dédiée à une faille du composant JSSE de Java SE, de GraalVM for JDK et de GraalVM Enterprise Edition, exploitable à distance sans authentification via plusieurs protocoles. Elle permet de lire et de modifier des données critiques et touche notamment Java SE 8u511, 11.0.33, 17.0.21, 21.0.13, 25.0.5 et 27.0.1.

Mots-clés :#Java#Oracle#JSSE#alerte

L'OCC finalise ses règles sur les stablecoins au titre du GENIUS Act

Les émetteurs devront détenir des réserves au moins égales à leurs stablecoins en circulation et traiter les rachats en général sous deux jours ouvrés. La règle et le GENIUS Act entrent en vigueur le 18 janvier 2027.

Mots-clés :#stablecoins#régulation#États-Unis

Legora lève 550 M$ à 8,8 Md$ de valorisation

La startup d'IA juridique Legora a bouclé une série E de 550 M$. Elle affirme que son revenu annuel récurrent dépasse désormais 200 M$.

Mots-clés :#legaltech#levée de fonds

Les modèles GPT 6.1 d'OpenAI arrivent sur Google Cloud et Antigravity

GPT 6.1 Astra, Sol et Luna seront proposés dans Google Cloud dans les prochaines semaines. Les modèles GPT arriveront aussi dans Antigravity, l'environnement de développement agentique de Google.

Mots-clés :#OpenAI#Google Cloud#Antigravity

LiteLLM 1.107.0 sur PyPI installait un voleur d'identifiants

La version 1.107.0 de LiteLLM publiée sur PyPI contenait un voleur d'identifiants et une backdoor exécutés au démarrage de tout processus Python. Elle a été retirée ; les versions 1.106.2, 1.107.0rc1 et rc2 sont saines.

Mots-clés :#supply chain#PyPI#LiteLLM

Meta condamné à 25 Md$ de pénalités au Nouveau-Mexique

Un tribunal du Nouveau-Mexique a fixé à 25 Md$ les pénalités infligées à Meta dans une affaire de protection des données liée au scandale Cambridge Analytica. Le jury avait retenu plus de 43 millions d'infractions.

Mots-clés :#Meta#justice#données personnelles

Meta crée une classe d'actions sans droit de vote pour financer l'IA

Meta va créer une nouvelle classe d'actions sans droit de vote, distribuée à ses actionnaires sous forme de dividende, pour aider à financer ses investissements dans l'IA.

Mots-clés :#Meta#financement#IA

PHP corrige deux failles critiques d'exécution de code à distance

PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35 corrigent deux vulnérabilités permettant à un attaquant non authentifié d'exécuter du code sur un serveur. Elles touchent la gestion mémoire et la gestion d'erreurs, et la PHP Foundation demande une mise à jour immédiate.

Mots-clés :#PHP#sécurité#RCE

Recursive lance Flint, un modèle de code local largement conçu par IA

Flint est un modèle de code gratuit capable de tourner sur un ordinateur portable. Recursive affirme que son système de recherche automatisé a participé à presque toutes les étapes, permettant de le construire en moins de quatre mois.

Mots-clés :#Recursive#modèle de code#open source

Snort 3 : Cisco corrige une écriture hors limites critique

L'équipe de Cisco chargée du moteur de détection d'intrusions open source Snort 3 publie des versions renforcées après une revue de sécurité interne. Elles corrigent notamment une faille d'écriture hors limites de mémoire notée 9,0.

Mots-clés :#Cisco#Snort#détection d'intrusion

Solana active Alpenglow : finalité ramenée à environ 150 ms

Le nouveau protocole de consensus Alpenglow a remplacé TowerBFT sur le mainnet de Solana. La finalité des transactions passe d'environ 12,8 secondes à environ 150 millisecondes, selon Anza.

Mots-clés :#Solana#Alpenglow#consensus

Tesla : bénéfice net en chute de 43 % au troisième trimestre

Tesla a réalisé 28 Md$ de chiffre d'affaires au T3 2026, quasi stable sur un an, mais son bénéfice net est tombé à 787 M$. Les dépenses d'exploitation ont augmenté de 39 % et l'activité stockage d'énergie a reculé de 16 %.

Mots-clés :#Tesla#résultats

Cloudflare présente tsrs, un portage du compilateur TypeScript en Rust

Ce projet expérimental, mené avec VoidZero au sein de la chaîne d'outils Oxc, vise la compatibilité avec TypeScript sans en être un fork.

Mots-clés :#Cloudflare#Rust#TypeScript

Mistral lance Voxtral 3 et un SDK pour agents vocaux

Mistral publie de nouveaux modèles de transcription couvrant plus de 50 langues et de synthèse vocale expressive, accompagnés d'un SDK d'agents vocaux temps réel. Ils sont disponibles via l'API hébergée en Europe ou en auto-hébergement.

Mots-clés :#Mistral#voix#agents

Oracle Access Manager : faille notée 10 dans le moteur d'authentification

Le correctif trimestriel d'octobre d'Oracle corrige une faille du moteur d'authentification d'Oracle Access Manager, versions 12.2.1.4.0 et 14.1.2.1.0, exploitable à distance via HTTP sans authentification. Une attaque réussie donne un accès complet aux données gérées par le produit et peut toucher d'autres systèmes qui s'appuient sur lui.

Mots-clés :#Oracle#authentification#Fusion Middleware

Coinbase et cinq plateformes interdites dans le centre financier d'Astana

Le tribunal de l'AIFC interdit à Coinbase, BingX, Bitcoin.com, HTX, BitMart et WEEX d'y proposer des services non autorisés. La mesure ne s'applique pas au reste du Kazakhstan.

Mots-clés :#Kazakhstan#régulation#Coinbase

Daytona lève 60 M$ pour ses sandboxes d'agents IA

La plateforme de sandboxes cloud sécurisées pour exécuter agents IA et code généré boucle une série B menée par FirstMark Capital, portant son financement total à 91 M$.

Mots-clés :#Daytona#agents#série B

IBM DataStage : écriture sans authentification dans le cache Redis partagé

CVE-2026-81212, publiée le 20 octobre, permet à un utilisateur non authentifié d'IBM DataStage sur Cloud Pak for Data 5.4.0.0 d'écrire arbitrairement dans le cache Redis partagé, sous la clé de n'importe quel locataire. Selon IBM, qui lui attribue un score CVSS de 10,0, cela fait tomber la séparation du chiffrement des identifiants et permet d'altérer les paramètres de flux mis en cache des autres locataires.

Mots-clés :#IBM#DataStage#Cloud Pak for Data

Le bitcoin repasse brièvement les 83 000 $ avec Wall Street

Porté par des résultats trimestriels meilleurs que prévu et le recul du pétrole, le bitcoin a touché 83 300 $ avant d'être rejeté sous sa moyenne mobile 21 jours et de revenir vers 82 000 $.

Mots-clés :#bitcoin#marchés

Le red-teaming automatique d'Anthropic bat les chasseurs de bugs humains

Anthropic indique que son système automatisé a égalé ou battu la meilleure soumission humaine de ses bug bounties dans 24 comparaisons sur 24, et en a gagné 23. L'objectif de sa feuille de route de sécurité est ainsi atteint avant l'échéance prévue.

Mots-clés :#Anthropic#sécurité#red-teaming

Les députés votent une taxe sur les échanges crypto vers stablecoins

L'amendement I-3898, adopté par 38 voix contre 37, supprimerait dès 2027 le sursis d'imposition pour les échanges vers des stablecoins conformes à MiCA, taxés à 31,4 %. Le texte peut encore être modifié lors des prochaines étapes budgétaires.

Mots-clés :#France#fiscalité#stablecoins

Les WebSockets passent en disponibilité générale sur Vercel Functions

Après une bêta publique lancée fin juin, le support des WebSockets dans les Vercel Functions est désormais disponible pour tous.

Mots-clés :#Vercel#WebSocket#serverless

Oracle : WebLogic exposé sans authentification, 1 295 correctifs en octobre

La mise à jour trimestrielle d'Oracle d'octobre 2026, publiée le 20 octobre, contient 1 295 nouveaux correctifs de sécurité. Parmi eux, CVE-2026-91323 permet à un attaquant non authentifié de prendre le contrôle d'Oracle WebLogic Server (versions 12.2.1.4.0, 14.1.1.0.0, 14.1.2.0.0 et 15.1.1.0.0) via HTTP, avec un score CVSS de 9,8 ; la même mise à jour corrige aussi plusieurs failles notées 10,0, dont CVE-2026-91231 dans Oracle SOA Suite.

Mots-clés :#Oracle#WebLogic#Critical Patch Update

Otter.ai obtient 320 M$ du fonds de croissance de General Catalyst

L'outil de prise de notes en réunion lève 320 M$ via le Customer Value Fund, un financement non dilutif, pour sa croissance en entreprise et à l'international. Il revendique 40 millions d'utilisateurs.

Mots-clés :#Otter#financement#IA

Reliable Robotics lève 115 M$ et dépasse 1 Md$ de valorisation

La startup, qui automatise des avions existants, combine 90 M$ en capital menés par Nimble Partners et 25 M$ de dette de Silicon Valley Bank.

Mots-clés :#aviation#autonomie#licorne

TypeScript 7.1 passe en bêta

Microsoft publie la bêta de TypeScript 7.1, avec le support des cibles ES2026, une API de compilateur modulaire et des plugins.

Mots-clés :#TypeScript#JavaScript#compilateur

Amazon lance TorchNeuron, PyTorch natif sur les puces Trainium

TorchNeuron, en bêta publique, fournit un backend PyTorch natif pour les puces Trainium d'AWS. Le code PyTorch existant peut y tourner en changeant simplement le périphérique de cuda à neuron.

Mots-clés :#AWS#PyTorch#Trainium

Langchain-Chatchat : exécution de commandes sans authentification

CVE-2026-75128, publiée le 20 octobre, touche Langchain-Chatchat jusqu'à la version 0.3.1.3 : le point d'accès POST /tools/call invoque n'importe quel outil enregistré sans authentification, y compris l'outil shell, ce qui permet d'exécuter des commandes système en une seule requête, avec les droits root dans l'image Docker fournie. VulnCheck lui attribue un score CVSS de 9,8 ; le même jour, des failles comparables ont été publiées pour DB-GPT et Letta.

Mots-clés :#Langchain-Chatchat#IA#exécution de code

Siemens Software Center : chargement de DLL exploité, ajout au catalogue CISA

Siemens a corrigé le 15 octobre (version 4.0.9.8) une faille qui permettait de faire charger des DLL piégées par Software Center, puis a confirmé le 19 octobre son exploitation active : des attaquants ont diffusé une copie authentique et signée du logiciel accompagnée de leurs propres fichiers. La CISA l'a ajoutée à son catalogue des failles exploitées le 20 octobre.

Mots-clés :#Siemens#DLL#exploitation active#CISA KEV

OpenAI : GPT-6.1 Sol migre du COBOL avec 86,6 % de réussite

Sur son évaluation de migration COBOL, GPT-6.1 Sol atteint 86,6 % en effort bas contre 5,4 % pour GPT-5.6 Sol, et 97,9 % en effort élevé. OpenAI publie aussi MultiLangBench, où GPT-6 Astra obtient 87,4 % en moyenne sur 20 langages.

Mots-clés :#OpenAI#COBOL#benchmark

Plex Media Server : une chaîne de quatre failles exploitée à grande échelle

Corrigées en septembre dans Plex Media Server 1.43.3.10861 et rendues publiques le 23 septembre, les failles CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 et CVE-2026-96656 permettent, une fois enchaînées, à un attaquant distant non authentifié d'exécuter du code avec les droits du serveur Plex. Ce qui est nouveau : Plex a annoncé le 19 octobre qu'elles sont activement et largement exploitées depuis la publication d'une preuve de concept le 16 octobre, notamment pour installer des mineurs de cryptomonnaie et des logiciels de proxy, et la CISA les a ajoutées le 20 octobre à son catalogue des failles exploitées. L'éditeur conseille de considérer comme potentiellement compromis tout serveur plus ancien exposé sur Internet.

Mots-clés :#Plex#exploitation active#exécution de code#CISA KEV

Apple annonce un événement « Pro and tell » le 28 octobre à Los Angeles

Apple tiendra un événement le 28 octobre à 10h, heure du Pacifique, à Los Angeles. De nouveaux MacBook Pro y sont attendus.

Mots-clés :#Apple#Mac#événement

Cloudflare dévoile Clairic, un modèle d'extraction sur Workers AI

Clairic, en preview sur Workers AI, extrait des valeurs typées (nombres, dates, listes, durées) depuis du texte ou des images. Il n'est facturé que sur les tokens d'entrée.

Mots-clés :#Cloudflare#Workers AI#extraction

Craft CMS : exécution de code via le filtre Twig « group », correctifs en série

CVE-2026-112770, publiée le 19 octobre, permet à un utilisateur authentifié du panneau de contrôle de Craft CMS 4.x avant 4.18.8 et 5.x avant 5.11.0 d'abuser du filtre Twig « group » pour écrire un webshell à la racine du site, avec un score CVSS de 8,8. La version 5.11.0 corrige aussi plusieurs autres failles publiées le même jour, dont CVE-2026-112776 (CVSS 9,8), qui permet à un jeton GraphQL limité à un site de modifier ou supprimer le contenu d'autres sites.

Mots-clés :#Craft CMS#Twig#exécution de code

IBM MQ : exécution de code à distance via des certificats TLS malformés

CVE-2026-12665, publiée le 19 octobre, est un débordement de pile dans IBM MQ déclenché par un certificat TLS au nom distinctif malformé lors de l'établissement d'une connexion de canal, ce qui peut permettre à un attaquant distant d'exécuter du code. IBM lui attribue un score CVSS de 8,1 et la corrige dans un bulletin couvrant aussi CVE-2026-10572, un débordement de tas exploitable par un utilisateur authentifié (CVSS 8,8).

Mots-clés :#IBM MQ#TLS#exécution de code

Inception lance Mercury 3, un LLM à diffusion à plus de 1 000 tokens/s

Inception annonce Mercury 3, un modèle de langage à diffusion avec un contexte d'un million de tokens et une vitesse supérieure à 1 000 tokens par seconde. Il est disponible via l'API Inception, OpenRouter, Baseten et Vercel.

Mots-clés :#Inception#diffusion#LLM

Le bitcoin touche 83 000 $ avant de refluer

Le bitcoin a brièvement dépassé 83 000 $ lundi, porté par le rebond des valeurs technologiques et un PIB chinois meilleur que prévu, avant de repasser sous ce seuil. Les tokens DeFi ont mené la hausse des altcoins.

Mots-clés :#bitcoin#marchés

Les ETF bitcoin et ether perdent 549 M$ en une semaine

Les ETF spot bitcoin et ether américains ont enregistré 549 M$ de sorties nettes la semaine dernière. Les ETF ether cumulent environ 955 M$ de sorties en octobre, leur pire mois de l'année.

Mots-clés :#ETF#bitcoin#ether

Meta publie Muse Glimmer 30B, un modèle open source pour agents locaux

Meta publie Muse Glimmer, un modèle de 30 milliards de paramètres conçu pour exécuter des agents autonomes en local sur du matériel grand public. Il accepte texte et images, est quantifié en environ 4 bits et sort sous licence Apache 2.0.

Mots-clés :#Meta#open source#agents#local

Microsoft lance Guardian Agents pour surveiller les agents IA en entreprise

Microsoft considère désormais les agents IA comme des menaces internes potentielles et lance Guardian Agents pour les surveiller. Defender détecte aussi une soixantaine d'agents introduits par les employés, dont Claude Code et Codex.

Mots-clés :#Microsoft#sécurité#agents

MiniMax lance M3.1 Flash, plus rapide et 70 % moins cher

Le chinois MiniMax revendique des progrès importants en tâches agentiques, programmation et cybersécurité. L'inférence serait presque trois fois plus rapide et les coûts d'usage réduits de 70 %.

Mots-clés :#MiniMax#Chine#modèle

MLflow : écriture de fichiers hors du répertoire prévu sans authentification

CVE-2026-53995, publiée le 19 octobre, affecte MLflow jusqu'à la version 3.17.1 : un identifiant de trace contenant des séquences de traversée de chemin, envoyé sans authentification à l'API des traces, permet d'écrire des fichiers en dehors du répertoire prévu lorsque le stockage FileStore est utilisé. Ce mode est celui par défaut avant MLflow 3.7.0 ; VulnCheck attribue à la faille un score CVSS 4.0 de 8,8.

Mots-clés :#MLflow#traversée de chemin#apprentissage automatique

Qubic met sa blockchain à l'arrêt après un vol de 1,4 M$

Un attaquant a vidé plus de 1 400 wallets dont les seeds étaient générées de façon prévisible. 87,1 % des fonds volés restent bloqués sur le réseau et MEXC a gelé le reste.

Mots-clés :#Qubic#hack#wallets

Tenstorrent lève 1,5 Md$ à une valorisation de 6,2 Md$

La start-up de puces IA dirigée par Jim Keller boucle une série E menée par Trace Capital et Innovation X. Les fonds doivent soutenir la production de ses serveurs et le développement de sa propriété intellectuelle face à Nvidia.

Mots-clés :#Tenstorrent#levée#puces IA

Town lève 108 M$ et devient licorne quatre mois après son lancement

Town, qui développe des assistants IA de travail baptisés Townie, lève 108 M$ en série B à 1 Md$ de valorisation. Le tour est co-mené par Forerunner Ventures et Menlo Ventures.

Mots-clés :#Town#levée#assistants IA

WordPress : Rank Math SEO PRO 3.0.123 distribué avec un logiciel malveillant

CVE-2026-111862, publiée le 19 octobre, concerne une partie des paquets de Rank Math SEO PRO 3.0.123 téléchargés ou mis à jour entre le 15 octobre à 22 h 02 et le 16 octobre à 9 h 12 (heure de Paris) : ils contenaient un code malveillant capable d'installer des portes dérobées persistantes, de créer des comptes administrateurs et de dérober identifiants et clés d'API. L'éditeur demande aux sites ayant activé un paquet concerné de se considérer comme compromis et a publié la version 3.0.124 saine ; Wordfence attribue à la faille un score CVSS de 9,8.

Mots-clés :#WordPress#Rank Math#chaîne d'approvisionnement#porte dérobée

Anthropic engage 5 % de ses actions dans un fonds d'intérêt public

Sous réserve de l'accord des actionnaires, Anthropic confie 5 % de ses actions à l'Anthropic Public Benefit Fund, avec 2 % supplémentaires à chaque hausse de 50 % de sa valeur. Avec les engagements des fondateurs et des salariés, environ 20 % du capital serait dédié au bien public.

Mots-clés :#Anthropic#gouvernance#philanthropie

Microsoft se retire du data center de Nscale dans l'Essex

Microsoft abandonne son contrat de location au futur data center de Nscale à Loughton, faute de raccordement électrique avant les années 2030. Un revers pour le projet d'introduction en Bourse de Nscale.

Mots-clés :#Microsoft#Nscale#data center

DeepSeek publie V4.1-Flash-1017 et ouvre ses API Search et Fetch

DeepSeek a mis à jour son modèle Flash sur son site, son application et son API, avec des poids ouverts sur Hugging Face et ModelScope. Entraîné par apprentissage par renforcement avec auto-évaluation, il promet de meilleurs scores et des réponses plus courtes. Les API Search et Fetch, basées sur le moteur de recherche maison, sont ouvertes à tous à 0,75 $ les 1 000 appels.

Mots-clés :#DeepSeek#open-weight#API#agents

Anthropic : moins de juniors et plus de réunions avec l'IA

Dans un rapport sur son propre fonctionnement, Anthropic indique que la part de profils juniors dans ses équipes techniques est passée de 21 % à 14 % depuis début 2025. Le temps de réunion par salarié a augmenté de 20 % en un an, et 20 % des employés interrogés disent être passés de faire le travail à « gérer des Claude ».

Mots-clés :#Anthropic#Claude#emploi#productivité

Circle défend l'économie de l'USDC face aux stablecoins rivaux

Circle affirme avoir conservé environ 7 cents de bénéfice net par dollar de revenu au premier semestre 2026, 819 M$ sur 1,4 Md$ étant reversés en frais de distribution et de transaction. L'émetteur de l'USDC répond ainsi à des concurrents comme Open USD, soutenu par Coinbase, Stripe et BlackRock, qui reversent davantage de revenus de réserve à leurs partenaires.

Mots-clés :#Circle#USDC#stablecoins#Coinbase

FreeRDP : écriture mémoire hors limites avant authentification côté serveur

CVE-2026-111880, publiée le 17 octobre, touche FreeRDP de la version 2.0.0 à 3.31.1 : lors de l'authentification NTLM côté serveur, un message AUTHENTICATE forgé par un attaquant non authentifié peut provoquer l'écriture de 16 octets au-delà d'une zone mémoire allouée. Le correctif figure dans FreeRDP 3.32.0, annoncé dans l'avis du projet du 2 octobre ; VulnCheck attribue à la faille un score CVSS 4.0 de 8,3.

Mots-clés :#FreeRDP#RDP#NTLM#corruption mémoire

Le bitcoin clôture calmement autour de 81 300 $

Le bitcoin a clôturé à 81 310 $ sur Coinbase samedi 17 octobre, contre 81 475 $ la veille, selon les données compilées par la Fed de Saint-Louis.

Mots-clés :#bitcoin#marché

Meta retire une clause controversée sur le scraping et l'entraînement IA

Les nouvelles conditions commerciales de Meta semblaient l'autoriser à utiliser le contenu des sites de tout compte business pour entraîner ses produits. Après les critiques, la clause a été retirée ; Meta affirme qu'elle ne concernait que ses produits publicitaires et ne change rien à l'usage de ses robots d'exploration.

Mots-clés :#Meta#scraping#conditions d'utilisation

phpMyFAQ : prise de contrôle de comptes via l'enregistrement de clés d'accès

CVE-2026-111911, publiée le 17 octobre, concerne phpMyFAQ de la version 4.0.0 à 4.1.8 : les points d'enregistrement WebAuthn acceptent d'associer une clé d'accès à n'importe quel compte sans authentification ni vérification du défi, ce qui permet ensuite de se connecter en contournant le mot de passe et la double authentification. Le projet a publié un avis et corrigé la faille dans la version 4.1.9 ; VulnCheck lui attribue un score CVSS 4.0 de 9,3.