Actu IT : failles CISA, Apple M6 (29 oct. 2026)

Les vulnérabilités critiques en tête de liste

La principale actualité IT du jour est une vague d'ordres de correctifs urgents émis par l'Agence américaine de cybersécurité et de sécurité des infrastructures (CISA). Le 27 octobre, la CISA a ajouté CVE-2026-111497 — surnommée « Node2Shell » — à son catalogue des vulnérabilités connues et exploitées (KEV). Il s'agit d'une faille d'écriture hors limites dans la bibliothèque de compression Brotli de Google, qui touche les versions 1.0.3 à 1.2.0. Les opérateurs de honeypots Previdian et ELLIO avaient déjà enregistré des tentatives d'exploitation réelles avant l'inscription par la CISA. Les agences fédérales ont désormais jusqu'au 10 novembre pour corriger, mais toute organisation utilisant des versions concernées de Brotli devrait en faire une priorité, car Brotli est largement intégrée dans les serveurs web et les navigateurs.

Un jour plus tôt, la CISA avait aussi signalé deux vulnérabilités critiques de PHP, CVE-2026-109618 et CVE-2026-109619, toutes deux permettant l'exécution de code à distance sans authentification. Les exploitants de sites sont invités à mettre à jour immédiatement vers PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35. Vu la part du web qui tourne encore sous PHP, l'exposition est importante pour les entreprises comme pour les hébergeurs.

Un mois d'octobre difficile pour GitLab

GitLab a dû publier son deuxième correctif de gravité maximale (CVSS 10,0) ce mois-ci. Le 21 octobre, l'éditeur a diffusé un correctif hors cycle pour CVE-2026-110264, un dépassement d'entier dans son moteur d'expressions régulières qui touche toutes les versions de GitLab auto-hébergé depuis 2014. Cela survient seulement dix jours après la correction, dans le même composant, d'une faille apparentée de CVSS 10,0, CVE-2026-97229. Les équipes qui exploitent des instances GitLab auto-hébergées devraient vérifier immédiatement leur état de correction : ce sont exactement le genre de bugs que les attaquants traquent activement.

L'événement « Pro and Tell » d'Apple lance le nouveau matériel M6

Sur une note plus positive, Apple a tenu son événement « Pro and Tell » à Los Angeles le 28 octobre, dévoilant un nouveau MacBook Pro 14 pouces et un iMac mis à jour, tous deux animés par la nouvelle puce M6. Apple affirme que le MacBook Pro M6 traite les prompts de LLM jusqu'à 13 fois plus vite que le modèle M1 d'origine, avec une autonomie de 24 heures et la prise en charge du Wi-Fi 7. Les précommandes sont ouvertes dès maintenant, avec des livraisons à partir du 6 novembre. Pour les développeurs et les charges de travail d'IA sur Mac, l'accélération de l'inférence locale est la principale amélioration.

Infrastructure cloud : de nouveaux liens, mais aussi des pannes

AWS et Google Cloud ont lancé conjointement un nouveau service d'interconnexion multicloud, associant AWS Interconnect-multicloud et Cross-Cloud Interconnect de Google Cloud. Le service permet aux entreprises d'établir des liaisons privées à haut débit entre les deux clouds en quelques minutes plutôt qu'en plusieurs semaines — Salesforce est cité parmi les premiers adopteurs. C'est important pour les entreprises dont les charges de travail sont réparties entre plusieurs fournisseurs, car cela supprime un important goulot d'étranglement réseau.

Par ailleurs, la fiabilité a connu quelques jours difficiles. Cloudflare a subi une panne d'environ 90 minutes affectant les Durable Objects en Amérique du Nord orientale, avec des effets en cascade sur D1, Queues et Workflows. Séparément, AWS a signalé des perturbations régionales à Bahreïn (me-south-1) et aux Émirats arabes unis (me-central-1) vers les 27 et 28 octobre, tandis que les 30 autres de ses 32 régions, ainsi que les 59 régions d'Azure, sont restées opérationnelles tout du long.

Pourquoi c'est important

Le tour d'horizon du jour rappelle que les cycles de correctifs de sécurité continuent de s'accélérer — trois failles distinctes de niveau KEV touchant des bibliothèques de compression, PHP et GitLab en une seule semaine —, tandis que les fournisseurs de matériel et de cloud poursuivent le développement de nouvelles capacités malgré des pannes occasionnelles.