IA / LLM & agents 3 actus
- 13/10Google ouvre Gemini 4 Argon aux abonnés Google AI Pro et Ultra dans l'application Gemini, avec la possibilité de déléguer des tâches au modèle. L'interface de codage agentique Antigravity arrive dans l'app macOS de Gemini, et l'assistant se connecte désormais à plus de 40 applications (Shopify, Adobe, Instacart, OpenTable…).
- 13/10Gemini 4 Argon passe en disponibilité générale dans GitHub Copilot (plans Pro+, Max, Business et Enterprise) : sélectionnable dans VS Code, Visual Studio, JetBrains, Xcode, Eclipse, Copilot CLI et l'agent de codage, en facturation à l'usage au tarif de Google. Les tests préliminaires de GitHub mesurent les plus gros gains du modèle dans Copilot CLI.
- 14/10Anthropic ouvre un bureau à Singapour (son cinquième en Asie-Pacifique) et signe un protocole d'accord avec le ministère singapourien du Développement numérique (MDDI) sur la sécurité et l'évaluation des modèles. Côté chiffres : plus de 1 500 ingénieurs de GovTech Singapore utilisent Claude Code, et Singapour est 2e sur 121 pays pour l'usage de Claude.ai rapporté à la population.
JavaScript / TypeScript / Node 3 actus
- 14/10Node.js 26.12.0 (Current)La plupart des modules ES sont désormais chargés de façon synchrone, le fichier de configuration est déclaré stable, un nouveau flag --allow-fs-vfs rejoint le modèle de permissions, node:http gagne websocketMask()/websocketUnmask(), process.finalization passe en release candidate et node:bench applique un warmup par défaut de 10 invocations.
- 14/10Node.js 24.22.0 (LTS « Krypton »)Crypto.parsePKCS12(), modes SIV et GCM-SIV dans Cipher/Decipher, util.throttle() et util.debounce() natifs, envoi de net.BoundSocket vers les threads et processus enfants, close() et Symbol.dispose sur StatementSync de node:sqlite. Bonus DX : node --run sans argument liste maintenant les scripts disponibles.
- 14/10Le projet Node.js pré-annonce des releases de sécurité pour le 21 octobre sur les lignes 26.x, 24.x et 22.x, avec une sévérité maximale HIGH sur chacune. Les versions en fin de vie restent affectées : planifier la fenêtre de mise à jour dès maintenant.
React & front 2 actus
- 14/10Next.js publie la mise à jour de sécurité hors cycle annoncée le 8 octobreV16.4.1 (Active LTS) et v15.5.28 (Maintenance LTS) corrigent deux RCE critiques non authentifiées — l'une via les fonctions 'use cache' des Cache Components renvoyant plusieurs typed arrays (aucun contournement connu), l'autre via l'API Image Optimization avec SVG (CVE-2026-96889, workaround : sharp ≥ 0.35.5) — plus un déni de service (High) sur les Server Actions de l'App Router.
- 14/10React publie les patchs 19.3.1, 19.2.9, 19.1.10 et 19.0.9 pour deux advisories dans les paquets react-server-dom-webpack, -turbopack et -parcel : une RCE critique non authentifiée dans les React Server Components (GHSA-xqc2-xf4c-x3h3) et un déni de service (High) dans les Server Functions. Toutes les versions 19.0.0 à 19.3.0 de ces paquets sont vulnérables — à mettre à jour même hors Next.js.
Backend, bases de données & NestJS 2 actus
- 12/10NestJS 12.1.3 embarque une grosse fournée de correctifs core, platform-express et microservicesLes enhancers globaux request-scoped ne sont plus ignorés en silence (échec explicite au démarrage), le cycle de vie SSE est fiabilisé (headers, streams vides, déconnexion anticipée), useSecurityHeaders() désactive le x-powered-by d'Express, et côté microservices le handshake TLS TCP est attendu, les wildcards « # » RabbitMQ matchent à toute position et les tombstones Kafka conservent leur payload null.
- 14/10PgBouncer 1.26.1 corrige trois CVE, dont CVE-2026-107350Un client connaissant le mot de passe d'un utilisateur SCRAM pouvait se connecter en tant que n'importe quel autre utilisateur SCRAM, superutilisateur compris, via un second StartupMessage envoyé pendant l'authentification. Deux boucles infinies déclenchables sans authentification (CVE-2026-107348 et CVE-2026-107349) sont aussi colmatées — mise à jour prioritaire pour ce pooler de connexions PostgreSQL.
DevOps, cloud & sécurité 4 actus
- 14/10GitHub Actions lance les workflow lockfiles en public previewUn fichier .github/workflows/actions.lock, généré par l'extension CLI gh actions-lock, fige les commits exacts des actions, de leurs dépendances transitives et des workflows réutilisables — un tag ou une branche déplacé après compromission d'une action ne change plus ce qui s'exécute. Une politique « Require lockfile » permet de l'imposer, et Dependabot met à jour le lockfile dans ses PR.
- 13/10Le secret scanning de GitHub bloque désormais par défaut les clés API Anthropic en push protection (détecteurs anthropic_service_api_key et anthropic_user_api_key) sur tous les dépôts où il est activé, dépôts publics gratuits compris. Salesforce rejoint par ailleurs le programme partenaire avec la détection des tokens OAuth2 Marketing Cloud.
- 12/10Cloudflare présente les Transformers pour Logpush, en disponibilité générale sur tous les plans (Free inclus) : des requêtes SQL filtrent, masquent et restructurent les logs avant export (sortie NDJSON), exécutées directement dans le pipeline via Apache DataFusion et Arrow. Comportement « fail closed » : en cas d'erreur du Transformer, aucune donnée brute n'est exportée.
- 13/10Cloudflare détaille l'architecture qui permet à D1 de scaler à des millions de basesChaque base est adossée à un unique Durable Object SQLite, le routage requête → base passe par Workers KV en périphérie, et le plan de contrôle s'appuie sur Postgres accédé via Hyperdrive. Le nombre de bases actives quotidiennes a été multiplié par 18 en un an.
À placer en entretien cette période
- La faille du 14 octobre est LE sujet front de la période : une RCE critique non authentifiée dans les paquets react-server-dom-* (la couche de transport des React Server Components) touche toutes les versions 19.0.0 à 19.3.0 — savoir dire que Next.js l'a corrigée en 16.4.1/15.5.28, React dans les patchs 19.x du même jour, et qu'il n'existait aucun workaround pour les fonctions 'use cache' renvoyant des typed arrays : la surface d'attaque des RSC, c'est la désérialisation du flux client→serveur.
- Deuxième RCE critique le même jour via l'API Image Optimization de Next.js avec SVG (CVE-2026-96889, bug mémoire dans une dépendance amont sur Linux glibc) : bon exemple de vulnérabilité de la chaîne de dépendances — le correctif consiste à épingler sharp ≥ 0.35.5, et le framework le fait pour vous à la mise à jour.
- Côté Node.js, citer la double release du 14/10 : 24.22.0 (LTS) apporte util.throttle()/util.debounce() natifs et close() sur node:sqlite, 26.12.0 rend le chargement des modules ES majoritairement synchrone et stabilise le fichier de configuration — et des patchs de sécurité HIGH sont annoncés pour le 21/10 sur les lignes 22, 24 et 26.
- Les workflow lockfiles de GitHub Actions (public preview du 14/10) sont la réponse produit aux attaques supply-chain par tag déplacé : actions.lock fige les commits des actions et de leurs dépendances transitives — à présenter comme la généralisation outillée du pinning par SHA qu'on recommandait jusque-là manuellement.
- Le bypass d'authentification de PgBouncer (CVE-2026-107350) est un bon point d'infra en entretien : le pooler fait partie de la surface d'authentification d'une stack PostgreSQL — ici un utilisateur SCRAM légitime pouvait usurper n'importe quel autre compte, superutilisateur compris.
- Sur l'IA, retenir le 13/10 : Gemini 4 Argon arrive le même jour dans l'app Gemini (abonnés AI Pro/Ultra, Antigravity sur macOS) et en GA dans GitHub Copilot en facturation à l'usage — illustration du Copilot multi-modèles où l'on choisit le modèle par tâche, avec les plus gros gains mesurés en CLI.