LDLC envoie actuellement des e-mails pour prévenir ses clients d’une nouvelle fuite de données. « Nous vous informons qu’un acte malveillant a permis un accès non autorisé à l’un de nos systèmes d’information, susceptible d’avoir entraîné la consultation de certaines données vous concernant », indique l’entreprise dans le courrier.
Les données concernées ? Pratiquement tout ce qu’il est possible d’avoir hors informations bancaires et de connexion : nom, prénom, adresse postale, adresse e-mail, fax, téléphone portable, téléphone fixe, langue du client, type de salutation (monsieur, madame…), codes clients techniques, type de client (particulier ou professionnel), date de dernière connexion sur le compte client web et date d’inscription sur le site.
« Vos données bancaires (RIB, numéro de carte), vos identifiants de connexion ou mots de passe n’ont pas été concernés », se dépêche d’ajouter LDLC. L’entreprise dit avoir immédiatement isolé la partie concernée de son infrastructure, révisé sa stratégie d’accès correspondante et notifié l’incident à la CNIL, « conformément à la réglementation applicable ».
Comme toujours dans ce genre de cas, les données dérobées « pourraient être utilisées pour des tentatives de fraude et de hameçonnage (phishing) », prévient LDLC. S’ensuivent plusieurs conseils, comme ne pas cliquer sur des liens reçus par SMS ou e-mail, ou ne jamais communiquer ses informations personnelles, identifiants et coordonnées bancaires par e-mail, SMS ou au téléphone. On fera remarquer, non sans ironie, qu’un nombre croissant d’entreprises s’en chargent pour nous.
Pour LDLC, c’est le quatrième incident de ce type depuis 2021. Cette année-là, l’entreprise annonçait avoir été attaquée par le groupe de pirates Ragnar Locker, qui avait mis en vente 29,5 Go de données internes. Puis 2024 avait marqué un doublé : d’abord le 29 février avec le vol des données de 1,5 million de clients, puis en décembre, sans savoir cette fois combien de personnes sont concernées.
LDLC envoie actuellement des e-mails pour prévenir ses clients d’une nouvelle fuite de données. « Nous vous informons qu’un acte malveillant a permis un accès non autorisé à l’un de nos systèmes d’information, susceptible d’avoir entraîné la consultation de certaines données vous concernant », indique l’entreprise dans le courrier.
Les données concernées ? Pratiquement tout ce qu’il est possible d’avoir hors informations bancaires et de connexion : nom, prénom, adresse postale, adresse e-mail, fax, téléphone portable, téléphone fixe, langue du client, type de salutation (monsieur, madame…), codes clients techniques, type de client (particulier ou professionnel), date de dernière connexion sur le compte client web et date d’inscription sur le site.
« Vos données bancaires (RIB, numéro de carte), vos identifiants de connexion ou mots de passe n’ont pas été concernés », se dépêche d’ajouter LDLC. L’entreprise dit avoir immédiatement isolé la partie concernée de son infrastructure, révisé sa stratégie d’accès correspondante et notifié l’incident à la CNIL, « conformément à la réglementation applicable ».
Comme toujours dans ce genre de cas, les données dérobées « pourraient être utilisées pour des tentatives de fraude et de hameçonnage (phishing) », prévient LDLC. S’ensuivent plusieurs conseils, comme ne pas cliquer sur des liens reçus par SMS ou e-mail, ou ne jamais communiquer ses informations personnelles, identifiants et coordonnées bancaires par e-mail, SMS ou au téléphone. On fera remarquer, non sans ironie, qu’un nombre croissant d’entreprises s’en chargent pour nous.
Pour LDLC, c’est le quatrième incident de ce type depuis 2021. Cette année-là, l’entreprise annonçait avoir été attaquée par le groupe de pirates Ragnar Locker, qui avait mis en vente 29,5 Go de données internes. Puis 2024 avait marqué un doublé : d’abord le 29 février avec le vol des données de 1,5 million de clients, puis en décembre, sans savoir cette fois combien de personnes sont concernées.
La version finale d’Ubuntu 26.10 est désormais disponible. Canonical a fait quelques choix « audacieux » dans le choix des composants, avec notamment un noyau Linux 7.3 non finalisé.
Mise à jour du 15 octobre : la version finale d’Ubuntu 26.10 est maintenant disponible au téléchargement depuis le site officiel. Les variantes officielles (flavours) ne sont pas encore toutes passées à la nouvelle mouture, ce qui devrait être réglé dans les heures qui viennent.
On note l’apparition pour la première fois d’images ISO pour l’architecture RISC-V, à la fois pour la version classique d’Ubuntu et pour la variante Xubuntu (Xfce). Dans le premier cas, ces images sont encore uniquement accessibles depuis le dépôt Daily (compilations quotidiennes, non stable) , alors que dans le second l’image ISO stable est disponible.
Enfin, Canonical a indiqué que la prochaine version d’Ubuntu, la 27.04, sera nommée « Tenacious T-Rex ».
Article original du 2 octobre : Canonical avait prévenu que la bêta d’Ubuntu 26.10 serait en retard. Elle devait sortir initialement le 24 septembre, mais a été repoussée d’une semaine. Elle a bien été mise à disposition le 1ᵉʳ octobre, mais les personnes intéressées ont moins de deux semaines pour faire leurs tests, car la version finale est toujours prévue pour le 15 octobre.
Cette première bêta concerne l’ensemble des éditions officielles de la distribution. C’est donc vrai pour les variantes Desktop, Server, WSL et Cloud, mais également pour Edubuntu, Kubuntu, Lubuntu, Ubuntu Budgie, Ubuntu Cinnamon, UbuntuKylin, Ubuntu MATE, Ubuntu Studio, Ubuntu Unity et Xubuntu.
Comme nous l’indiquions récemment, Ubuntu 26.10 sera une version intermédiaire, donc non LTS (Long Term Support). Les personnes qui ont installé Ubuntu 26.04 ne l’auront donc pas, à moins de modifier le paramètre associé. Ces versions intermédiaires ont un support de neuf mois et sont faites pour être mises à jour tous les six mois. Les versions LTS, pour rappel, ne sont mises à jour que tous les deux ans.
Il reste 73% de l'article à découvrir. Vous devez être abonné•e pour lire la suite de cet article. Déjà abonné•e ? Générez une clé RSS dans votre profil.
Le patron de SpaceXAI va participer à la création d’un important rapport prospectif sur les futurs visages de la guerre. Outre son retour officiel dans les sphères du pouvoir, plusieurs médias pointent les risques de conflits d’intérêt.
Le 30 septembre, le secrétaire américain à la Guerre, Pete Hegseth, a tenu un grand discours à la base des Marines de Quantico. Entre autres diatribes contre l’éternel « wokisme », se félicitant en particulier d’avoir sorti les « clowns idéologues » et d’avoir augmenté le nombre de tests de testostérone chez les soldats, il a évoqué une réduction de 20 % du nombre de généraux et amiraux. « Aujourd’hui, les médias parlent de purge. Moi, j’appelle cela rendre des comptes, et ça aurait dû être fait depuis longtemps », a-t-il déclaré, comme le relève Le Monde.
Le ministre était surtout venu annoncer six initiatives pour l’armée, dont plusieurs se distinguent par leur importance potentielle. C’est le cas notamment de l’Autonomous Warfare Command (Commandement de la guerre autonome).
Le communiqué le présente comme devant étendre la guerre autonome à l’ensemble des forces interarmées, sous la forme d’un « commandement de combat fonctionnel à quatre étoiles d’ici le 1ᵉʳ octobre 2027 ». Il s’appuie sur le programme Drone Dominance, qui aurait livré des milliers de systèmes robotisés au Moyen-Orient dans le cadre de l’opération Epic Fury.
De la bataille d’Azincourt à FORTRESS
Pour accoucher de ce commandement, une structure de transition chargée de préparer le terrain est mise en place, sous le nom de « Project Agincourt ». Agincourt, qui se traduit en français par Azincourt, est le nom d’une célèbre bataille de la Guerre de Cent Ans (en 1415), au cours de laquelle la chevalerie française fut écrasée par les Anglais et leurs redoutables arcs longs.
Le nom ne fait pas tant référence à la défaite française en elle-même qu’à la possibilité d’employer une arme bon marché en masse, qui l’emporte alors sur une force plus coûteuse et plus « prestigieuse ». Le projet a été confié au DRPM-UxS (Direct Reporting Portfolio Manager for Unmanned Systems), un poste créé trois mois plus tôt pour regrouper les activités du ministère de la Guerre dans le domaine des systèmes non habités.
Autre initiative importante, FORTRESS, pour « Federal Operations for Resilience, Troop Resources, Energy, Supply, and Survivability ». À terme, chaque grande installation militaire américaine produirait ainsi sa propre électricité de façon autonome, pour continuer à fonctionner si le réseau civil tombe à la suite d’une cyberattaque ou d’un sabotage.
Cette initiative prévoit aussi de relocaliser les chaînes d’approvisionnement critiques : terres rares, métaux spéciaux, semi-conducteurs et ergols. Elle comprend également la constitution de réserves stratégiques de munitions, de carburant, de médicaments et de sang. Enfin, elle couvre le durcissement des installations contre les intrusions informatiques, le sabotage et les drones, ainsi que la protection des satellites et du spectre radioélectrique.
Meridian et le « retour » d’Elon Musk
Outre la création d’une nouvelle grande base sur le sol national ou encore celle d’un « Bureau des affaires religieuses », on remarque sous le projet Meridian. Il s’agit d’une étude prospective qui doit couvrir tous les domaines de combat futurs, des profondeurs souterraines à l’espace cislunaire. Cette mission doit aboutir sous 120 jours à un rapport public non classifié, mais accompagné d’une annexe classifiée. L’échéance est fixée au 28 janvier 2027 par le mémorandum, qui prévoit que le projet soit commandé par l’intermédiaire d’une organisation partenaire (aucun nom n’a été donné).
Si le projet Meridian fait couler de l’encre, ce n’est pas tellement parce qu’il sera piloté par Emil Michael, directeur technique du ministère de la Guerre, mais parce qu’il y associe Elon Musk, Palmer Luckey et Newt Gingrich. Beaucoup y voient un retour du patron de SpaceXAI dans le giron de la Maison-Blanche, même s’il faut nuancer le propos. Dans le cadre de Meridian, son rôle relève du Pentagone, il ne revient pas dans l’exécutif présidentiel, comme c’était le cas quand il pilotait le DOGE. En outre, la mission est bornée dans le temps et limitée à un rapport.
Selon le magazine Time, le processus de réconciliation avec Donald Trump aurait commencé en décembre 2025 lors d’une « réunion clandestine » à la Maison-Blanche. Le président aurait passé plusieurs heures à tester Grok, le chatbot IA de SpaceXAI. Il aurait notamment demandé comment les Vénézuéliens réagiraient si les États-Unis capturaient Maduro, alors au pouvoir. Grok aurait caractérisé ce dernier de « dictateur répressif et profondément impopulaire », ce qui aurait aidé Donald Trump à décider sa capture le mois suivant.
En revanche, la question des conflits d’intérêts bat son plein. Axios rappelle par exemple que les entreprises d’Elon Musk et de Palmer Luckey détiennent d’importants contrats avec le Pentagone. SpaceXAI assure ainsi l’essentiel des lancements liés à la sécurité nationale, tandis qu’Anduril fournit brouilleurs, intercepteurs, moteurs de roquette et drones d’accompagnement. Même Fox News, pourtant favorable à l’administration, relève que des dirigeants d’entreprises en concurrence pour des marchés de défense vont aider à définir les capacités que l’armée devrait acquérir.
Le patron de SpaceXAI va participer à la création d’un important rapport prospectif sur les futurs visages de la guerre. Outre son retour officiel dans les sphères du pouvoir, plusieurs médias pointent les risques de conflits d’intérêt.
Le 30 septembre, le secrétaire américain à la Guerre, Pete Hegseth, a tenu un grand discours à la base des Marines de Quantico. Entre autres diatribes contre l’éternel « wokisme », se félicitant en particulier d’avoir sorti les « clowns idéologues » et d’avoir augmenté le nombre de tests de testostérone chez les soldats, il a évoqué une réduction de 20 % du nombre de généraux et amiraux. « Aujourd’hui, les médias parlent de purge. Moi, j’appelle cela rendre des comptes, et ça aurait dû être fait depuis longtemps », a-t-il déclaré, comme le relève Le Monde.
Le ministre était surtout venu annoncer six initiatives pour l’armée, dont plusieurs se distinguent par leur importance potentielle. C’est le cas notamment de l’Autonomous Warfare Command (Commandement de la guerre autonome).
Le communiqué le présente comme devant étendre la guerre autonome à l’ensemble des forces interarmées, sous la forme d’un « commandement de combat fonctionnel à quatre étoiles d’ici le 1ᵉʳ octobre 2027 ». Il s’appuie sur le programme Drone Dominance, qui aurait livré des milliers de systèmes robotisés au Moyen-Orient dans le cadre de l’opération Epic Fury.
De la bataille d’Azincourt à FORTRESS
Pour accoucher de ce commandement, une structure de transition chargée de préparer le terrain est mise en place, sous le nom de « Project Agincourt ». Agincourt, qui se traduit en français par Azincourt, est le nom d’une célèbre bataille de la Guerre de Cent Ans (en 1415), au cours de laquelle la chevalerie française fut écrasée par les Anglais et leurs redoutables arcs longs.
Le nom ne fait pas tant référence à la défaite française en elle-même qu’à la possibilité d’employer une arme bon marché en masse, qui l’emporte alors sur une force plus coûteuse et plus « prestigieuse ». Le projet a été confié au DRPM-UxS (Direct Reporting Portfolio Manager for Unmanned Systems), un poste créé trois mois plus tôt pour regrouper les activités du ministère de la Guerre dans le domaine des systèmes non habités.
Autre initiative importante, FORTRESS, pour « Federal Operations for Resilience, Troop Resources, Energy, Supply, and Survivability ». À terme, chaque grande installation militaire américaine produirait ainsi sa propre électricité de façon autonome, pour continuer à fonctionner si le réseau civil tombe à la suite d’une cyberattaque ou d’un sabotage.
Cette initiative prévoit aussi de relocaliser les chaînes d’approvisionnement critiques : terres rares, métaux spéciaux, semi-conducteurs et ergols. Elle comprend également la constitution de réserves stratégiques de munitions, de carburant, de médicaments et de sang. Enfin, elle couvre le durcissement des installations contre les intrusions informatiques, le sabotage et les drones, ainsi que la protection des satellites et du spectre radioélectrique.
Meridian et le « retour » d’Elon Musk
Outre la création d’une nouvelle grande base sur le sol national ou encore celle d’un « Bureau des affaires religieuses », on remarque sous le projet Meridian. Il s’agit d’une étude prospective qui doit couvrir tous les domaines de combat futurs, des profondeurs souterraines à l’espace cislunaire. Cette mission doit aboutir sous 120 jours à un rapport public non classifié, mais accompagné d’une annexe classifiée. L’échéance est fixée au 28 janvier 2027 par le mémorandum, qui prévoit que le projet soit commandé par l’intermédiaire d’une organisation partenaire (aucun nom n’a été donné).
Si le projet Meridian fait couler de l’encre, ce n’est pas tellement parce qu’il sera piloté par Emil Michael, directeur technique du ministère de la Guerre, mais parce qu’il y associe Elon Musk, Palmer Luckey et Newt Gingrich. Beaucoup y voient un retour du patron de SpaceXAI dans le giron de la Maison-Blanche, même s’il faut nuancer le propos. Dans le cadre de Meridian, son rôle relève du Pentagone, il ne revient pas dans l’exécutif présidentiel, comme c’était le cas quand il pilotait le DOGE. En outre, la mission est bornée dans le temps et limitée à un rapport.
Selon le magazine Time, le processus de réconciliation avec Donald Trump aurait commencé en décembre 2025 lors d’une « réunion clandestine » à la Maison-Blanche. Le président aurait passé plusieurs heures à tester Grok, le chatbot IA de SpaceXAI. Il aurait notamment demandé comment les Vénézuéliens réagiraient si les États-Unis capturaient Maduro, alors au pouvoir. Grok aurait caractérisé ce dernier de « dictateur répressif et profondément impopulaire », ce qui aurait aidé Donald Trump à décider sa capture le mois suivant.
En revanche, la question des conflits d’intérêts bat son plein. Axios rappelle par exemple que les entreprises d’Elon Musk et de Palmer Luckey détiennent d’importants contrats avec le Pentagone. SpaceXAI assure ainsi l’essentiel des lancements liés à la sécurité nationale, tandis qu’Anduril fournit brouilleurs, intercepteurs, moteurs de roquette et drones d’accompagnement. Même Fox News, pourtant favorable à l’administration, relève que des dirigeants d’entreprises en concurrence pour des marchés de défense vont aider à définir les capacités que l’armée devrait acquérir.
L’ANSSI a publié le premier point de situation de son dispositif REACTIV. Le rapport est sobre et direct, alignant les causes des différents incidents cyber des deux derniers mois contre les ministères, avec des chiffres éloquents.
Le dispositif REACTIV (pour REponse & ACTion Interministérielle face aux Violations de données) a été créé par l’ANSSI (Agence nationale de la sécurité des systèmes d’information) à la demande du Premier ministre Sébastien Lecornu. Annoncée publiquement le 7 septembre, elle constitue une réorientation des moyens opérationnels de l’ANSSI vers deux tâches : le traitement des comptes utilisateurs compromis et l’analyse des violations de données.
Comme nous l’indiquions au moment de l’annonce, l’agence obtient deux pouvoirs nouveaux. D’abord, elle centralise la communication technique de crise. Ensuite, et surtout, l’ANSSI peut imposer aux ministères des mesures de protection immédiates dans des délais contraints. Vincent Strubel, directeur de l’agence, avait bien précisé lors de l’annonce que l’effort était temporaire et qu’il se faisait au détriment d’autres pans de la menace.
La situation exigeait une forme d’urgence. Il n’aura fallu que trois semaines pour que l’ANSSI publie un premier point d’étape, faisant le bilan des attaques des deux derniers mois contre plusieurs ministères.
Depuis le 1ᵉʳ août 2026, 99 violations de données ont été signalées à l’ANSSI, dont 67 sont confirmées et 32 sont en cours de traitement par l’agence.
Parmi les incidents, la faille CVE-2026-72898 (score CVSS 10) dans Metabase (une plateforme open source dédiée à l’intelligence économique) et son exploitation sont en bonne place. L’ANSSI évoque neuf instances ministérielles compromises depuis début août. « Cette vulnérabilité, de type injection SQL, permet l’accès à la base de données de l’application Metabase pour un utilisateur non authentifié et l’obtention des droits administrateurs de l’instance », indique le rapport.
Lorsque la faille a été découverte le 3 août par Metabase, elle était déjà exploitée. Le correctif a été publié le 6 août. Pour les ministères français en revanche, il ne s’agissait probablement déjà plus d’une faille 0-day, l’attaque contre France VAE étant par exemple survenue le 8 août. L’exploitation de cette faille a servi également contre Zéro Logement Vacant, Qualicharge et probablement Docurba, même si l’enquête n’est pas terminée.
Mais cette faille a aussi servi contre le propre Laboratoire d’innovation de l’ANSSI et contre la Direction interministérielle du numérique (DINUM), deux agences relevant du Premier ministre. Dans le premier cas, l’ANSSI pointe « la compromission de 118 comptes utilisateurs Metabase dont une trentaine de comptes d’utilisateurs externes (données statistiques d’utilisation, identifiants, courriels et mots de passe hachés) ». Les instances vulnérables ont été mises à jour, les mots de passe ont été renouvelés pour l’ensemble des comptes et les comptes inutilisés depuis plus de trois mois ont été désactivés.
Dans le cas de la DINUM, deux instances Metabase ont été compromises, ProConnect et Nuage-Public. « Les données exfiltrées portent sur des informations administratives d’organismes publics (SIREN, SIRET, budgets, effectifs), des métadonnées de contributions à des projets logiciels open source, et des historiques de connexions anonymisés », indique l’ANSSI. L’agence ajoute que ces données étaient cependant déjà publiques. Là encore, les vulnérabilités ont été colmatées, les secrets réinitialisés et les comptes créés par l’attaquant supprimés.
Le rapport n’indique pas toutefois dans quelle mesure ces instances Metabase étaient exposées à internet. Dans tous les cas, l’information tombe mal pour l’ANSSI, qui doit montrer l’exemple, notamment en matière de réactivité sur les correctifs sortant régulièrement. Il s’est écoulé au moins plusieurs jours entre la publication du correctif de Metabase et les premiers signes d’attaque contre la faille au sein des ministères, témoignant d’un retard dans l’application. Dans le cas de l’agence, même s’il s’agit uniquement de son Laboratoire d’innovation, le signal renvoyé n’est pas glorieux.
On peut noter également que l’avis du CERT-FR sur plusieurs failles Metabase a été publié le 24 août, alors que trois des quatre failles (dont CVE-2026-72898) étaient connues depuis le 6 et la dernière le 11.
Des défauts de sécurisation classiques
Les autres incidents relèvent malheureusement de défauts de sécurité classiques. Par exemple, des identifiants volés par des infostealers sur des postes personnels ou de partenaires, puis utilisés contre des services exposés sans double authentification. C’est le cas pour le PIGP (Portail de la Gestion Publique de la DGFIP), le cadastre et l’AEFE (Agence pour l’enseignement français à l’étranger).
L’absence de double authentification ressort justement dans le rapport, ou un deuxième facteur par simple e-mail, cette méthode n’étant plus considérée comme robuste depuis longtemps. Le point de situation évoque également la compromission de sous-traitants, dont un de TRACFIN, et le serveur d’échange avec les prestataires de la DGDDI.
On note aussi que plusieurs incidents sont en cours de qualification. Par exemple, pour Signal Logement (identification de logements insalubres) et le BCPR (Bureau des courriers parlementaires et réservés), duquel des e-mails auraient été exfiltrés, sans que l’ANSSI en soit certaine pour l’instant.
En outre, si la mission de REACTIV est surtout de pouvoir imposer des mesures concrètes dans des délais contraints, on ne sait rien des éventuels changements mis en place pour faire évoluer la culture de la cybersécurité chez l’ensemble des personnes concernées. Si l’exploitation de failles peut souvent être combattue par une application stricte des correctifs de sécurité, les attaques passant par des comptes compromis doivent interpeler les utilisateurs impliqués et leur hygiène numérique, dont la gestion de leurs mots de passe.
Une utilisation sérieuse de la double authentification ne semble pas toujours la règle non plus, le mécanisme relevant des ministères et de leurs services informatiques. À ce sujet, la position de l’ANSSI est d’ailleurs claire : « facteur clé de nombreux incidents analysés par l’ANSSI, l’absence de MFA, ou l’utilisation d’un second facteur faible (e-mail), a facilité les intrusions puisqu’un mot de passe faible ou une fuite de mot de passe suffisait à l’attaquant pour s’octroyer a minima un accès utilisateur ».
L’ANSSI a publié le premier point de situation de son dispositif REACTIV. Le rapport est sobre et direct, alignant les causes des différents incidents cyber des deux derniers mois contre les ministères, avec des chiffres éloquents.
Le dispositif REACTIV (pour REponse & ACTion Interministérielle face aux Violations de données) a été créé par l’ANSSI (Agence nationale de la sécurité des systèmes d’information) à la demande du Premier ministre Sébastien Lecornu. Annoncée publiquement le 7 septembre, elle constitue une réorientation des moyens opérationnels de l’ANSSI vers deux tâches : le traitement des comptes utilisateurs compromis et l’analyse des violations de données.
Comme nous l’indiquions au moment de l’annonce, l’agence obtient deux pouvoirs nouveaux. D’abord, elle centralise la communication technique de crise. Ensuite, et surtout, l’ANSSI peut imposer aux ministères des mesures de protection immédiates dans des délais contraints. Vincent Strubel, directeur de l’agence, avait bien précisé lors de l’annonce que l’effort était temporaire et qu’il se faisait au détriment d’autres pans de la menace.
La situation exigeait une forme d’urgence. Il n’aura fallu que trois semaines pour que l’ANSSI publie un premier point d’étape, faisant le bilan des attaques des deux derniers mois contre plusieurs ministères.
Depuis le 1ᵉʳ août 2026, 99 violations de données ont été signalées à l’ANSSI, dont 67 sont confirmées et 32 sont en cours de traitement par l’agence.
Parmi les incidents, la faille CVE-2026-72898 (score CVSS 10) dans Metabase (une plateforme open source dédiée à l’intelligence économique) et son exploitation sont en bonne place. L’ANSSI évoque neuf instances ministérielles compromises depuis début août. « Cette vulnérabilité, de type injection SQL, permet l’accès à la base de données de l’application Metabase pour un utilisateur non authentifié et l’obtention des droits administrateurs de l’instance », indique le rapport.
Lorsque la faille a été découverte le 3 août par Metabase, elle était déjà exploitée. Le correctif a été publié le 6 août. Pour les ministères français en revanche, il ne s’agissait probablement déjà plus d’une faille 0-day, l’attaque contre France VAE étant par exemple survenue le 8 août. L’exploitation de cette faille a servi également contre Zéro Logement Vacant, Qualicharge et probablement Docurba, même si l’enquête n’est pas terminée.
Mais cette faille a aussi servi contre le propre Laboratoire d’innovation de l’ANSSI et contre la Direction interministérielle du numérique (DINUM), deux agences relevant du Premier ministre. Dans le premier cas, l’ANSSI pointe « la compromission de 118 comptes utilisateurs Metabase dont une trentaine de comptes d’utilisateurs externes (données statistiques d’utilisation, identifiants, courriels et mots de passe hachés) ». Les instances vulnérables ont été mises à jour, les mots de passe ont été renouvelés pour l’ensemble des comptes et les comptes inutilisés depuis plus de trois mois ont été désactivés.
Dans le cas de la DINUM, deux instances Metabase ont été compromises, ProConnect et Nuage-Public. « Les données exfiltrées portent sur des informations administratives d’organismes publics (SIREN, SIRET, budgets, effectifs), des métadonnées de contributions à des projets logiciels open source, et des historiques de connexions anonymisés », indique l’ANSSI. L’agence ajoute que ces données étaient cependant déjà publiques. Là encore, les vulnérabilités ont été colmatées, les secrets réinitialisés et les comptes créés par l’attaquant supprimés.
Le rapport n’indique pas toutefois dans quelle mesure ces instances Metabase étaient exposées à internet. Dans tous les cas, l’information tombe mal pour l’ANSSI, qui doit montrer l’exemple, notamment en matière de réactivité sur les correctifs sortant régulièrement. Il s’est écoulé au moins plusieurs jours entre la publication du correctif de Metabase et les premiers signes d’attaque contre la faille au sein des ministères, témoignant d’un retard dans l’application. Dans le cas de l’agence, même s’il s’agit uniquement de son Laboratoire d’innovation, le signal renvoyé n’est pas glorieux.
On peut noter également que l’avis du CERT-FR sur plusieurs failles Metabase a été publié le 24 août, alors que trois des quatre failles (dont CVE-2026-72898) étaient connues depuis le 6 et la dernière le 11.
Des défauts de sécurisation classiques
Les autres incidents relèvent malheureusement de défauts de sécurité classiques. Par exemple, des identifiants volés par des infostealers sur des postes personnels ou de partenaires, puis utilisés contre des services exposés sans double authentification. C’est le cas pour le PIGP (Portail de la Gestion Publique de la DGFIP), le cadastre et l’AEFE (Agence pour l’enseignement français à l’étranger).
L’absence de double authentification ressort justement dans le rapport, ou un deuxième facteur par simple e-mail, cette méthode n’étant plus considérée comme robuste depuis longtemps. Le point de situation évoque également la compromission de sous-traitants, dont un de TRACFIN, et le serveur d’échange avec les prestataires de la DGDDI.
On note aussi que plusieurs incidents sont en cours de qualification. Par exemple, pour Signal Logement (identification de logements insalubres) et le BCPR (Bureau des courriers parlementaires et réservés), duquel des e-mails auraient été exfiltrés, sans que l’ANSSI en soit certaine pour l’instant.
En outre, si la mission de REACTIV est surtout de pouvoir imposer des mesures concrètes dans des délais contraints, on ne sait rien des éventuels changements mis en place pour faire évoluer la culture de la cybersécurité chez l’ensemble des personnes concernées. Si l’exploitation de failles peut souvent être combattue par une application stricte des correctifs de sécurité, les attaques passant par des comptes compromis doivent interpeler les utilisateurs impliqués et leur hygiène numérique, dont la gestion de leurs mots de passe.
Une utilisation sérieuse de la double authentification ne semble pas toujours la règle non plus, le mécanisme relevant des ministères et de leurs services informatiques. À ce sujet, la position de l’ANSSI est d’ailleurs claire : « facteur clé de nombreux incidents analysés par l’ANSSI, l’absence de MFA, ou l’utilisation d’un second facteur faible (e-mail), a facilité les intrusions puisqu’un mot de passe faible ou une fuite de mot de passe suffisait à l’attaquant pour s’octroyer a minima un accès utilisateur ».
Les personnes et organisations disposant de serveurs équipés de Zimbra pour la gestion de leurs e-mails doivent mettre à jour aussi rapidement que possible les composants logiciels. Une faille est exploitée depuis plus de deux mois, alors que le correctif existe depuis le 20 juillet.
Dans un long billet publié le 30 septembre, Microsoft Threat Intelligence a fourni une analyse de l’exploitation de CVE-2026-73570, une faille de type « injection de commandes système non authentifiée » dans Zimbra Collaboration Suite (ZCS), une solution e-mail très populaire.
Cette faille, présente dans toutes les versions antérieures à la 10.1.20, est en fait corrigée depuis juillet. Cependant, les systèmes non mis à jour seraient encore nombreux, Microsoft indique que la faille – critique, avec un score CVSS de 8,9 – est exploitée depuis fin juillet au moins. L’éditeur évoque un minimum de plusieurs centaines de serveurs compromis par l’exploitation de cette faille.
Cette vulnérabilité est présente dans le traitement des notifications SNMP de Zimbra. Elle peut être exploitée dès lors que le paquet optionnel zimbra-snmp est installé et que les notifications sont activées. Un attaquant non authentifié peut alors envoyer des requêtes SMTP spécialement conçues pour provoquer une erreur, lui permettant après coup d’exécuter des commandes système arbitraires avec les droits de l’utilisateur zimbra.
Des attaques rondement menées
Dans son billet, Microsoft dit avoir observé deux outils de balayage le 28 juillet et le 7 août, donc après le correctif mais avant la divulgation, intervenue le 13 août avec la publication des informations dans la base NVD. « Les sondes incluaient des requêtes HTTP et des vérifications d’identité DNS, ICMP et en bande, utilisant des commandes telles que curl, wget, ping, nslookup et id », vers des services d’interaction comme oast[.]fun ou requestrepo[.]com, ou vers une infrastructure propre à la campagne d’attaque sous bypass[.]eu[.]org. Les requêtes HTTP portaient un User-Agent spécifique, ZB73570, suggérant selon Microsoft que des acteurs ont analysé le correctif avant la publication des détails du bulletin CVE.
Les attaquants ont ensuite déposé des pages JSP malveillantes (webshells) dans les répertoires Jetty et mailboxd, puis les ont recopiées sur les autres nœuds de boîtes aux lettres. Ils allaient parfois jusqu’à ouvrir temporairement les droits d’écriture du répertoire public avant de les rétablir. Ils ont aussi installé un service systemd déguisé, zimlog.service, dont les horodatages avaient été modifiés pour imiter sshd.service.
Source : Microsoft
L’exploitation se faisait au moyen du journal zmmailboxd.out remplacé par un lien symbolique vers /etc/pam.d/sudo, qui invoquait alors zmmailboxdmgr, exécuté avec des privilèges élevés. Les pirates étaient ensuite capables de voler des secrets, de se déplacer latéralement dans l’infrastructure et d’exfiltrer des contenus. Microsoft n’attribue cette activité à aucun acteur nommé, le rapport mentionnant des victimes dans plusieurs régions et secteurs, et un mélange d’opérations automatisées et manuelles.
Du pain sur la planche
Selon le rapport, toute instance Zimbra qui n’a pas été mise à jour avant fin juillet doit être considérée comme potentiellement compromise. L’installation de la mise à jour est la mesure la plus urgente à entreprendre. À défaut, si l’opération est impossible dans l’immédiat, Microsoft recommande la désinstallation du paquet zimbra-snmp, la désactivation des notifications SNMP et la restriction de l’accès SNMP et SMTP aux seuls hôtes de confiance.
Une fois la mise à jour effectuée, plusieurs actions sont encore nécessaires :
Renouveler toutes les clés zimbraPreAuthKey et zimbraAuthTokenKey
Inspecter /etc/sudoers.d/ (notamment 81_metric), /etc/pam.d/ et les unités systemd (zimlog.service, chronyd-helper.service, syslog_init.service)
Chercher les JSP et fichiers *_jsp.java inattendus sur la totalité des nœuds
Les personnes et organisations disposant de serveurs équipés de Zimbra pour la gestion de leurs e-mails doivent mettre à jour aussi rapidement que possible les composants logiciels. Une faille est exploitée depuis plus de deux mois, alors que le correctif existe depuis le 20 juillet.
Dans un long billet publié le 30 septembre, Microsoft Threat Intelligence a fourni une analyse de l’exploitation de CVE-2026-73570, une faille de type « injection de commandes système non authentifiée » dans Zimbra Collaboration Suite (ZCS), une solution e-mail très populaire.
Cette faille, présente dans toutes les versions antérieures à la 10.1.20, est en fait corrigée depuis juillet. Cependant, les systèmes non mis à jour seraient encore nombreux, Microsoft indique que la faille – critique, avec un score CVSS de 8,9 – est exploitée depuis fin juillet au moins. L’éditeur évoque un minimum de plusieurs centaines de serveurs compromis par l’exploitation de cette faille.
Cette vulnérabilité est présente dans le traitement des notifications SNMP de Zimbra. Elle peut être exploitée dès lors que le paquet optionnel zimbra-snmp est installé et que les notifications sont activées. Un attaquant non authentifié peut alors envoyer des requêtes SMTP spécialement conçues pour provoquer une erreur, lui permettant après coup d’exécuter des commandes système arbitraires avec les droits de l’utilisateur zimbra.
Des attaques rondement menées
Dans son billet, Microsoft dit avoir observé deux outils de balayage le 28 juillet et le 7 août, donc après le correctif mais avant la divulgation, intervenue le 13 août avec la publication des informations dans la base NVD. « Les sondes incluaient des requêtes HTTP et des vérifications d’identité DNS, ICMP et en bande, utilisant des commandes telles que curl, wget, ping, nslookup et id », vers des services d’interaction comme oast[.]fun ou requestrepo[.]com, ou vers une infrastructure propre à la campagne d’attaque sous bypass[.]eu[.]org. Les requêtes HTTP portaient un User-Agent spécifique, ZB73570, suggérant selon Microsoft que des acteurs ont analysé le correctif avant la publication des détails du bulletin CVE.
Les attaquants ont ensuite déposé des pages JSP malveillantes (webshells) dans les répertoires Jetty et mailboxd, puis les ont recopiées sur les autres nœuds de boîtes aux lettres. Ils allaient parfois jusqu’à ouvrir temporairement les droits d’écriture du répertoire public avant de les rétablir. Ils ont aussi installé un service systemd déguisé, zimlog.service, dont les horodatages avaient été modifiés pour imiter sshd.service.
Source : Microsoft
L’exploitation se faisait au moyen du journal zmmailboxd.out remplacé par un lien symbolique vers /etc/pam.d/sudo, qui invoquait alors zmmailboxdmgr, exécuté avec des privilèges élevés. Les pirates étaient ensuite capables de voler des secrets, de se déplacer latéralement dans l’infrastructure et d’exfiltrer des contenus. Microsoft n’attribue cette activité à aucun acteur nommé, le rapport mentionnant des victimes dans plusieurs régions et secteurs, et un mélange d’opérations automatisées et manuelles.
Du pain sur la planche
Selon le rapport, toute instance Zimbra qui n’a pas été mise à jour avant fin juillet doit être considérée comme potentiellement compromise. L’installation de la mise à jour est la mesure la plus urgente à entreprendre. À défaut, si l’opération est impossible dans l’immédiat, Microsoft recommande la désinstallation du paquet zimbra-snmp, la désactivation des notifications SNMP et la restriction de l’accès SNMP et SMTP aux seuls hôtes de confiance.
Une fois la mise à jour effectuée, plusieurs actions sont encore nécessaires :
Renouveler toutes les clés zimbraPreAuthKey et zimbraAuthTokenKey
Inspecter /etc/sudoers.d/ (notamment 81_metric), /etc/pam.d/ et les unités systemd (zimlog.service, chronyd-helper.service, syslog_init.service)
Chercher les JSP et fichiers *_jsp.java inattendus sur la totalité des nœuds
Microsoft a donné le coup d’envoi officiel pour ses conteneurs WSL. Ils permettent de créer, exécuter et gérer des conteneurs Linux directement depuis Windows.
Au début de l’été, Microsoft a profité de sa conférence Build pour présenter un nouveau projet baptisé « WSL Container », avec une préversion dans la foulée. L’objectif était clair : fournir un moyen intégré et prêt pour l’entreprise de créer, exécuter et gérer des conteneurs Linux sur Windows, sans nécessiter d’outillage tiers supplémentaire.
Depuis le 29 septembre, la fonction est disponible en version finale. Microsoft n’y va pas par quatre chemins : « WSL est au cœur de notre engagement à faire de Windows le meilleur endroit pour construire, exécuter et gérer des charges de travail Linux. À mesure que l’IA, le développement cloud-native, les conteneurs et les écosystèmes open source continuent de converger vers Linux, de plus en plus de développeurs choisissent d’exécuter ces charges directement sur des appareils Windows ». Les conteneurs sont donc une évolution logique de WSL, affirme l’éditeur.
Petit point de rappel d’abord : qu’est-ce que WSL ? Le Windows Subsystem for Linux est un composant de Windows permettant de faire fonctionner directement une distribution Linux virtualisée. Plusieurs sont disponibles d’ailleurs dans le Microsoft Store, comme Ubuntu et Debian.
Source : Microsoft
Disponible directement dans la nouvelle version de WSL
Pour utiliser les conteneurs, pas besoin d’installer de nouveaux composants, car la nouvelle fonction fait simplement partie de la dernière mouture du WSL (3.0.1). On peut donc l’installer soit en récupérant le binaire depuis le dépôt GitHub, soit via la commande « wsl --update » dans le terminal.
Le produit livré hier soir repose sur deux briques. D’abord, l’outil wslc.exe qui sert à construire, lancer et déployer les conteneurs. Microsoft fournit en même temps un alias intégré container.exe pour reprendre les commandes habituelles. Ensuite, une API – sous forme de paquet NuGet Microsoft.WSL.Containers – pour permettre aux applications Windows natives de piloter ces conteneurs. L’éditeur donne comme exemple l’exécution locale de charges IA.
En matière d’architecture, chaque utilisateur a sa propre session, dont les privilèges peuvent être réglés, y compris de manière centralisée en entreprise. Le stockage, lui, peut se faire de trois manières : un VHD par session, des volumes reposant sur VHD ou des volumes de conteneurs reposant sur virtiofs, que Microsoft présente comme jusqu’à deux fois plus rapides que l’approche plan9 utilisée jusqu’à présent par WSL.
Quant au réseau, il est géré par un composant nommé Consommé, qui consiste en un processus s’occupant de tout ce qui touche au DNS, au routage et au mappage des ports. Cette approche doit notamment permettre de travailler plus facilement avec des VPN et des pare-feux.
Docker dans la ligne de mire
D’accord, mais pour quoi faire ? On trouve sur le site de Microsoft ou dans la presse des exemples d’utilisation. Le plus simple est celui d’une application Windows embarquant un composant Linux. Ainsi, un logiciel de bureau en C# peut lancer un conteneur servant un modèle d’inférence, communiquer avec lui puis l’arrêter à la fermeture. C’est l’exemple de charge IA locale donné précédemment par Microsoft.
Si le nom n’est jamais cité, Docker est directement dans la ligne de mire. Microsoft met en avant ses intégrations avec d’autres produits de son écosystème, Intune et Defender for Endpoint étant cités. L’arrivée des conteneurs WSL permet aux applications Windows de les exploiter directement, sans passer par des produits tiers (il faut quand même que WSL soit installé).
Il s’agit cependant d’une version 1.0, qui cible surtout les grandes entreprises dans lesquelles ce niveau d’intégration peut faire la différence. En outre, il y a des limites. Selon Microsoft, la fonction la plus demandée est la compatibilité avec Docker Compose, via la prise en charge directe des fichiers compose.yaml existants. L’entreprise affirme que ce support est « une priorité pour nos prochaines versions ».
La version finale apporte des nouveautés
Si vous avez testé les conteneurs WSL cet été, la version finale apporte bon nombre d’améliorations, notamment pour les commandes disponibles, qui en comptent une dizaine de nouvelles. Citons par exemple « wslc container restart » qui permet de redémarrer un conteneur en fonctionnement, « wslc system info » pour voir une vue de synthèse de l’environnement conteneur, ou « wslc network connect » pour attacher les conteneurs au réseau (ou « disconnect » pour les détacher).
Entre temps, des intégrations sont également apparues avec des partenaires ou des projets communautaires. Les conteneurs sont ainsi supportés (sans grande surprise) dans Visual Studio Code, dans lequel on peut déclarer wslc comme pilote par défaut pour créer et interagir avec les conteneurs WSL. Microsoft cite aussi Aspire, Lazywslc, WSL Container Desktop ou encore WSLc Remote. Ce dernier permet de lancer wslc depuis les distributions Linux prises en charge par WSL.
Microsoft ajoute que les investissements dans WSL continueront. « Au fil du temps, nous voyons Linux sous Windows évoluer au-delà d’un environnement de développement vers une plateforme d’exécution stratégique pour l’IA et les charges de travail natives cloud, participant aux mêmes cadres de sécurité, de gestion et de gouvernance d’entreprise que Windows », assure ainsi l’entreprise.
Microsoft a donné le coup d’envoi officiel pour ses conteneurs WSL. Ils permettent de créer, exécuter et gérer des conteneurs Linux directement depuis Windows.
Au début de l’été, Microsoft a profité de sa conférence Build pour présenter un nouveau projet baptisé « WSL Container », avec une préversion dans la foulée. L’objectif était clair : fournir un moyen intégré et prêt pour l’entreprise de créer, exécuter et gérer des conteneurs Linux sur Windows, sans nécessiter d’outillage tiers supplémentaire.
Depuis le 29 septembre, la fonction est disponible en version finale. Microsoft n’y va pas par quatre chemins : « WSL est au cœur de notre engagement à faire de Windows le meilleur endroit pour construire, exécuter et gérer des charges de travail Linux. À mesure que l’IA, le développement cloud-native, les conteneurs et les écosystèmes open source continuent de converger vers Linux, de plus en plus de développeurs choisissent d’exécuter ces charges directement sur des appareils Windows ». Les conteneurs sont donc une évolution logique de WSL, affirme l’éditeur.
Petit point de rappel d’abord : qu’est-ce que WSL ? Le Windows Subsystem for Linux est un composant de Windows permettant de faire fonctionner directement une distribution Linux virtualisée. Plusieurs sont disponibles d’ailleurs dans le Microsoft Store, comme Ubuntu et Debian.
Source : Microsoft
Disponible directement dans la nouvelle version de WSL
Pour utiliser les conteneurs, pas besoin d’installer de nouveaux composants, car la nouvelle fonction fait simplement partie de la dernière mouture du WSL (3.0.1). On peut donc l’installer soit en récupérant le binaire depuis le dépôt GitHub, soit via la commande « wsl --update » dans le terminal.
Le produit livré hier soir repose sur deux briques. D’abord, l’outil wslc.exe qui sert à construire, lancer et déployer les conteneurs. Microsoft fournit en même temps un alias intégré container.exe pour reprendre les commandes habituelles. Ensuite, une API – sous forme de paquet NuGet Microsoft.WSL.Containers – pour permettre aux applications Windows natives de piloter ces conteneurs. L’éditeur donne comme exemple l’exécution locale de charges IA.
En matière d’architecture, chaque utilisateur a sa propre session, dont les privilèges peuvent être réglés, y compris de manière centralisée en entreprise. Le stockage, lui, peut se faire de trois manières : un VHD par session, des volumes reposant sur VHD ou des volumes de conteneurs reposant sur virtiofs, que Microsoft présente comme jusqu’à deux fois plus rapides que l’approche plan9 utilisée jusqu’à présent par WSL.
Quant au réseau, il est géré par un composant nommé Consommé, qui consiste en un processus s’occupant de tout ce qui touche au DNS, au routage et au mappage des ports. Cette approche doit notamment permettre de travailler plus facilement avec des VPN et des pare-feux.
Docker dans la ligne de mire
D’accord, mais pour quoi faire ? On trouve sur le site de Microsoft ou dans la presse des exemples d’utilisation. Le plus simple est celui d’une application Windows embarquant un composant Linux. Ainsi, un logiciel de bureau en C# peut lancer un conteneur servant un modèle d’inférence, communiquer avec lui puis l’arrêter à la fermeture. C’est l’exemple de charge IA locale donné précédemment par Microsoft.
Si le nom n’est jamais cité, Docker est directement dans la ligne de mire. Microsoft met en avant ses intégrations avec d’autres produits de son écosystème, Intune et Defender for Endpoint étant cités. L’arrivée des conteneurs WSL permet aux applications Windows de les exploiter directement, sans passer par des produits tiers (il faut quand même que WSL soit installé).
Il s’agit cependant d’une version 1.0, qui cible surtout les grandes entreprises dans lesquelles ce niveau d’intégration peut faire la différence. En outre, il y a des limites. Selon Microsoft, la fonction la plus demandée est la compatibilité avec Docker Compose, via la prise en charge directe des fichiers compose.yaml existants. L’entreprise affirme que ce support est « une priorité pour nos prochaines versions ».
La version finale apporte des nouveautés
Si vous avez testé les conteneurs WSL cet été, la version finale apporte bon nombre d’améliorations, notamment pour les commandes disponibles, qui en comptent une dizaine de nouvelles. Citons par exemple « wslc container restart » qui permet de redémarrer un conteneur en fonctionnement, « wslc system info » pour voir une vue de synthèse de l’environnement conteneur, ou « wslc network connect » pour attacher les conteneurs au réseau (ou « disconnect » pour les détacher).
Entre temps, des intégrations sont également apparues avec des partenaires ou des projets communautaires. Les conteneurs sont ainsi supportés (sans grande surprise) dans Visual Studio Code, dans lequel on peut déclarer wslc comme pilote par défaut pour créer et interagir avec les conteneurs WSL. Microsoft cite aussi Aspire, Lazywslc, WSL Container Desktop ou encore WSLc Remote. Ce dernier permet de lancer wslc depuis les distributions Linux prises en charge par WSL.
Microsoft ajoute que les investissements dans WSL continueront. « Au fil du temps, nous voyons Linux sous Windows évoluer au-delà d’un environnement de développement vers une plateforme d’exécution stratégique pour l’IA et les charges de travail natives cloud, participant aux mêmes cadres de sécurité, de gestion et de gouvernance d’entreprise que Windows », assure ainsi l’entreprise.
Ce 29 septembre, Canonical a officiellement ouvert la mise à niveau directe d’Ubuntu 24.04 LTS (Noble Numbat) vers Ubuntu 26.04.1 LTS (Resolute Raccoon). L’information peut surprendre, Ubuntu 26.04 ayant près de six mois déjà. Pourtant, ce chemin de migration n’a en réalité qu’un mois de retard sur le calendrier habituel.
Pour rappel, les versions printanières sortant les années paires comme 24.04 et 26.04 sont étiquetées LTS, pour Long Term Support. Chez Canonical, cela signifie un support de cinq ans, extensible via l’offre Ubuntu Pro. Par défaut, ces versions ne se mettent pas à jour vers les versions intérimaires (c’est-à-dire autres que LTS). Si l’on ne touche à rien, les seules évolutions possibles sont vers les nouvelles LTS.
Souvent, les personnes choisissant ces versions privilégient la stabilité au détriment des nouveautés. En entreprise ou dans d’autres organisations, Ubuntu peut par exemple être utilisé sur des appareils de production, des serveurs, etc. Le choix de migration est donc prudent : le chemin ne s’ouvre qu’une fois que Canonical s’est assuré que les principaux problèmes ont été réglés.
Dans une annonce, Canonical indique que le chemin de migration commence à être ouvert. L’entreprise y explique que la version 26.04.1 va être proposée dans les jours qui viennent à l’ensemble des ordinateurs équipés de 24.04, via le gestionnaire de mises à jour. Le déploiement étant progressif, la notification peut ne pas apparaître tout de suite.
Signalons quand même plusieurs éléments. D’une part, rien n’oblige à installer cette nouvelle version, qui peut être refusée : Ubuntu 24.04 est supportée jusqu’en 2029, ou 2034 avec Ubuntu Pro. D’autre part, les personnes qui n’ont pas envie d’attendre la notification peuvent lancer la commande « do-release-upgrade » dans le terminal. Enfin, la migration ne peut se faire que si toutes les mises à jour en attente sont installées, que ce soit dans le gestionnaire graphique ou en ligne de commande avec apt.
En outre, attention à la migration, car ce type d’installation n’est jamais anodin. Canonical souligne plusieurs points de vigilance, dont la fin de la session GNOME sous Xorg. Le serveur graphique n’est ainsi pas supprimé, mais l’option disparait de l’écran de connexion. La session par défaut repose sur Wayland, les applications X11 passant par XWayland depuis Ubuntu 25.10. En revanche, Xfce, LXQt, Cinnamon et MATE prennent toujours en charge Xorg. Autre point de vigilance, la quantité de mémoire recommandée : 6 Go, contre 4 Go pour Ubuntu 24.04. L’installation n’est pas bloquée sur une machine avec 4 Go de mémoire, mais l’ensemble fonctionnera sans doute moins bien.
Rappelons qu’Ubuntu 26.10 arrivera le 15 octobre. Pour les personnes utilisant Ubuntu 26.04 (ou 24.04 et sur le point de migrer), la situation est celle que nous décrivions : cette mise à jour ne vous sera pas proposée. Pour recevoir cette mise à jour, il faudra soit avoir déjà une version intérimaire (semestrielle), soit avoir une version LTS configurée pour les recevoir. Si vous voulez changer ce réglage sur Ubuntu 26.04 par exemple, il faut vous rendre l’application « Logiciels et mises à jour », dans l’onglet « Mises à jour ». Dans le champ « Me notifier des nouvelles versions d’Ubuntu » choisissez alors « Pour toute nouvelle version ».
Ce 29 septembre, Canonical a officiellement ouvert la mise à niveau directe d’Ubuntu 24.04 LTS (Noble Numbat) vers Ubuntu 26.04.1 LTS (Resolute Raccoon). L’information peut surprendre, Ubuntu 26.04 ayant près de six mois déjà. Pourtant, ce chemin de migration n’a en réalité qu’un mois de retard sur le calendrier habituel.
Pour rappel, les versions printanières sortant les années paires comme 24.04 et 26.04 sont étiquetées LTS, pour Long Term Support. Chez Canonical, cela signifie un support de cinq ans, extensible via l’offre Ubuntu Pro. Par défaut, ces versions ne se mettent pas à jour vers les versions intérimaires (c’est-à-dire autres que LTS). Si l’on ne touche à rien, les seules évolutions possibles sont vers les nouvelles LTS.
Souvent, les personnes choisissant ces versions privilégient la stabilité au détriment des nouveautés. En entreprise ou dans d’autres organisations, Ubuntu peut par exemple être utilisé sur des appareils de production, des serveurs, etc. Le choix de migration est donc prudent : le chemin ne s’ouvre qu’une fois que Canonical s’est assuré que les principaux problèmes ont été réglés.
Dans une annonce, Canonical indique que le chemin de migration commence à être ouvert. L’entreprise y explique que la version 26.04.1 va être proposée dans les jours qui viennent à l’ensemble des ordinateurs équipés de 24.04, via le gestionnaire de mises à jour. Le déploiement étant progressif, la notification peut ne pas apparaître tout de suite.
Signalons quand même plusieurs éléments. D’une part, rien n’oblige à installer cette nouvelle version, qui peut être refusée : Ubuntu 24.04 est supportée jusqu’en 2029, ou 2034 avec Ubuntu Pro. D’autre part, les personnes qui n’ont pas envie d’attendre la notification peuvent lancer la commande « do-release-upgrade » dans le terminal. Enfin, la migration ne peut se faire que si toutes les mises à jour en attente sont installées, que ce soit dans le gestionnaire graphique ou en ligne de commande avec apt.
En outre, attention à la migration, car ce type d’installation n’est jamais anodin. Canonical souligne plusieurs points de vigilance, dont la fin de la session GNOME sous Xorg. Le serveur graphique n’est ainsi pas supprimé, mais l’option disparait de l’écran de connexion. La session par défaut repose sur Wayland, les applications X11 passant par XWayland depuis Ubuntu 25.10. En revanche, Xfce, LXQt, Cinnamon et MATE prennent toujours en charge Xorg. Autre point de vigilance, la quantité de mémoire recommandée : 6 Go, contre 4 Go pour Ubuntu 24.04. L’installation n’est pas bloquée sur une machine avec 4 Go de mémoire, mais l’ensemble fonctionnera sans doute moins bien.
Rappelons qu’Ubuntu 26.10 arrivera le 15 octobre. Pour les personnes utilisant Ubuntu 26.04 (ou 24.04 et sur le point de migrer), la situation est celle que nous décrivions : cette mise à jour ne vous sera pas proposée. Pour recevoir cette mise à jour, il faudra soit avoir déjà une version intérimaire (semestrielle), soit avoir une version LTS configurée pour les recevoir. Si vous voulez changer ce réglage sur Ubuntu 26.04 par exemple, il faut vous rendre l’application « Logiciels et mises à jour », dans l’onglet « Mises à jour ». Dans le champ « Me notifier des nouvelles versions d’Ubuntu » choisissez alors « Pour toute nouvelle version ».
Microsoft a lancé ce 29 septembre sa nouvelle mise à jour annuelle. Contrairement aux années précédentes cependant, la 26H2 est surtout là pour prolonger le support, Microsoft ayant choisi une approche plus souple.
L’automne est toujours pour Windows synonyme de mise à jour majeure, d’autant que Microsoft n’en propose désormais plus qu’une par an, le reste étant fourni en continu au fil des mois. Si les versions 24H2 et 25H2 ont apporté de longues listes de nouveautés, la 26H2 est cependant d’un genre nouveau. Ses apports ont en fait été disséminés dans les mises à jour mensuelles depuis quelques mois.
En clair, pour une machine actuellement à jour en 25H2, la 26H2 ne va pas apporter grand-chose. Son rôle premier est de relancer un cycle de support technique : 24 mois pour les éditions Famille et Professionnelle, 36 mois pour Entreprise et Éducation. Ce cycle de deux ans pour le grand public signifie que l’heure de la fin est proche pour la 24H2. Si vous avez encore une machine sur cette version, il est temps de passer à la 25H2 ou 26H2, car vous n’aurez plus de mises à jour mensuelles de sécurité après le 13 octobre.
Le déploiement de cette version 26H2 est dit « contrôlé ». Un comportement habituel chez Microsoft, qui propose d’abord ses versions majeures aux machines jugées les plus compatibles. Ensuite, au fur et à mesure des installations, la télémétrie permet à l’éditeur de voir l’état du déploiement et des bugs rencontrés. Le téléchargement est ensuite proposé à un nombre croissant d’ordinateurs au cours des mois suivants. Toutefois, il est possible de court-circuiter ce mécanisme en allant dans Windows Update pour cliquer sur le bouton « Rechercher des mises à jour », ou chez les personnes qui ont activé l’option « Recevez les dernières mises à jour dès qu’elles sont disponibles ».
Et donc, c’est tout ? Pas tout à fait. La situation va être très variable selon les configurations. Les fonctions ajoutées au cours des derniers mois ne sont pas activées chez tout le monde. Ce fonctionnement flou est une marque de fabrique de Microsoft depuis longtemps. En revanche, l’arrivée de la 26H2 signifie dans la plupart des cas l’activation des nouveautés « dormantes », et elles peuvent être nombreuses.
Côté interface, beaucoup de bonnes choses
Si vous n’avez pas suivi l’actualité des derniers mois, la 26H2 peut être synonyme de bonne surprise, surtout dans les fonctions du quotidien. La barre des tâches récupère ainsi la possibilité d’être placée sur n’importe quel bord de l’écran, avec en plus une option pour réduire sa taille. Des fonctions présentes depuis longtemps dans les systèmes de Microsoft mais que Windows 11 avait supprimées.
Le menu Démarrer a droit à une refonte qui le rend nettement plus personnalisable. On peut désormais choisir précisément les sections à afficher, supprimer les catégories et les applications recommandées, avoir uniquement la liste alphabétique des applications installées, etc. Autre nouveauté, la possibilité de choisir entre des versions petite et grande du menu.
Autre gros morceau, la recherche est enfin à la hauteur. On peut ainsi désactiver les résultats web dans les options pour n’afficher que les contenus locaux. La recherche tolère maintenant les fautes de frappe (il était temps), affiche un aperçu des résultats et indexe automatiquement les dossiers fréquemment utilisés. On peut également supprimer la recherche dans le Microsoft Store.
L’Explorateur a reçu de son côté bon nombre d’améliorations. Il s’ouvre nettement plus vite et l’affichage de l’Accueil est plus rapide. On y trouve aussi la prise en charge d’autres types d’archives (uu, cpio, xar et nupkg), la conservation des préférences d’affichage et de tri (enfin !) ou encore la possibilité d’utiliser la dictée vocale pour renommer un fichier ou un dossier. En revanche, certains travaux arriveront plus tard, dont le menu contextuel remanié et personnalisable. Dans ce dernier, on peut quand même signaler le regroupement des actions OneDrive dans un sous-menu dédié.
Ces apports ont été répartis sur l’été et ne sont pas encore présents chez tout le monde. Si certains ne vous disent rien, l’installation de la 26H2 devrait changer la donne, la mise à jour étant surtout un « Enablement Package », pour reprendre la terminologie de Microsoft.
Du neuf pour la sécurité
L’un des plus gros apports de ces derniers mois est la protection Administrateur, dont le rôle est de remplacer les droits d’administration permanents. Les droits sont maintenant accordés au moment du besoin, avec séparation des profils pour renforcer le système contre l’élévation de privilèges. Dans les entreprises, cette fonction s’active via Intune ou une stratégie de groupe. Pour le grand public, l’option doit apparaitre dans le centre de sécurité, dans la section Protection du compte. Si elle n’est pas là, c’est qu’elle fait l’objet d’un déploiement progressif. Dans notre cas, elle est absente pour le moment.
Parmi les autres apports, signalons l’intégration native de Sysmon pour la capture des évènements système, que l’on peut ensuite utiliser pour de la détection de menaces. Smart App Control peut à présent être activé ou désactivé à la volée, sans plus nécessiter une réinstallation propre du système. Un changement majeur, car si la protection permet de surveiller le comportement des applications pour bloquer les comportements douteux, elle peut entrainer des soucis de compatibilité dans certains scénarios.
Voici d’autres nouveautés dans le domaine de la sécurité :
Windows accepte désormais les gestionnaires de mots de passe tiers pour les clés d’accès, s’ils sont compatibles avec cette nouvelle intégration à l’échelle du système
Windows Hello Enhanced Sign-in Security (ESS) prend en charge les lecteurs d’empreintes périphériques compatibles, et plus uniquement ceux intégrés dans les ordinateurs
Windows ne fait plus confiance par défaut aux pilotes à signature croisée, seuls restant admis les pilotes du programme WHCP et une liste de pilotes historiques de confiance
Prise en charge des algorithmes de cryptographie post-quantique ML-KEM et ML-DSA
Un peu de tout
Les modifications ajoutées au cours des derniers mois sont nombreuses. Voici une liste pêle-mêle de ce que vous pourriez avoir avec la version 26H2 si ces fonctions n’étaient pas déjà présentes.
Parmi les dernières nouveautés, on note un renforcement important de la fiabilité et des performances pour le Bluetooth, surtout dans des scénarios comme les appels, la reconnexion après veille prolongée, l’écoute via LE Audio, ou encore la synchronisation de la mise en sourdine. On trouve également du mieux pour l’USB, dont une connexion plus fiable des écrans via des docks et hubs USB4.
Windows Update se veut en outre plus léger sur ses procédures d’installations, avec moins de redémarrages. Les mises à jour éligibles sont installées en même temps que celles de sécurité et le mécanisme est capable de restaurer certains comportements. Par exemple, Windows Update peut sortir un PC de veille pour installer des correctifs et le remettre ensuite en veille. Ce cas ne survient que pour les machines configurées pour ne jamais se mettre en veille automatiquement, mais quand même plongées en veille manuellement. Microsoft ne donne pas d’autres précisions sur ce fonctionnement, qui reste en partie mystérieux.
Le gestionnaire des tâches récupère plusieurs nouvelles colonnes optionnelles : NPU, moteur NPU, mémoire NPU dédiée ou partagée, et « Isolation » pour pointer les applications exécutées dans un AppContainer.
Enfin, côté accessibilité, la Loupe accepte un pourcentage de zoom précis ainsi qu’un niveau de zoom distinct par écran en mode étendu. Le Narrateur intègre maintenant Braille Viewer et améliore la navigation dans Word. L’accès vocal comprend le langage naturel sur les PC Copilot+ et ajoute le français, l’allemand, l’espagnol et le coréen.
Installation et problèmes connus
Avant de vous lancer, sachez que plusieurs problèmes sont déjà connus et que cette liste peut évoluer fortement dans les prochaines semaines. Par exemple, les problèmes de son signalés apparus avec les derniers correctifs du Patch Tuesday sont considérés comme « atténués », mais pas complètement corrigés. Idem pour les soucis déjà signalés de perte d’approbation à des domaines en entreprise ou d’écran noir après connexion dans certains environnements de bureau virtuel.
Quant à l’installation, selon votre configuration, elle peut se révéler très rapide. Sur une machine en 25H2 à jour, la 26H2 ne va servir que de module d’activation pour les nouveautés des derniers mois. Elle ne sera pas plus lourde qu’une mise à jour mensuelle et ne devrait donc pas immobiliser longtemps la machine. Comme toujours, le temps dépend de la configuration logicielle et de la puissance de la machine.
À moins d’être passé au travers des déploiements progressifs des derniers mois, nous recommandons d’attendre que Windows Update propose de lui-même cette nouvelle version. Le déclenchement manuel de l’installation peut révéler des incompatibilités.
Enfin, la page de téléchargement de l’image ISO de Windows 11 a été mise à jour. Si vous avez envie ou besoin de réinstaller proprement le système, l’image fournie correspond bien désormais à la version 26H2 (build 26300).
Microsoft a lancé ce 29 septembre sa nouvelle mise à jour annuelle. Contrairement aux années précédentes cependant, la 26H2 est surtout là pour prolonger le support, Microsoft ayant choisi une approche plus souple.
L’automne est toujours pour Windows synonyme de mise à jour majeure, d’autant que Microsoft n’en propose désormais plus qu’une par an, le reste étant fourni en continu au fil des mois. Si les versions 24H2 et 25H2 ont apporté de longues listes de nouveautés, la 26H2 est cependant d’un genre nouveau. Ses apports ont en fait été disséminés dans les mises à jour mensuelles depuis quelques mois.
En clair, pour une machine actuellement à jour en 25H2, la 26H2 ne va pas apporter grand-chose. Son rôle premier est de relancer un cycle de support technique : 24 mois pour les éditions Famille et Professionnelle, 36 mois pour Entreprise et Éducation. Ce cycle de deux ans pour le grand public signifie que l’heure de la fin est proche pour la 24H2. Si vous avez encore une machine sur cette version, il est temps de passer à la 25H2 ou 26H2, car vous n’aurez plus de mises à jour mensuelles de sécurité après le 13 octobre.
Le déploiement de cette version 26H2 est dit « contrôlé ». Un comportement habituel chez Microsoft, qui propose d’abord ses versions majeures aux machines jugées les plus compatibles. Ensuite, au fur et à mesure des installations, la télémétrie permet à l’éditeur de voir l’état du déploiement et des bugs rencontrés. Le téléchargement est ensuite proposé à un nombre croissant d’ordinateurs au cours des mois suivants. Toutefois, il est possible de court-circuiter ce mécanisme en allant dans Windows Update pour cliquer sur le bouton « Rechercher des mises à jour », ou chez les personnes qui ont activé l’option « Recevez les dernières mises à jour dès qu’elles sont disponibles ».
Et donc, c’est tout ? Pas tout à fait. La situation va être très variable selon les configurations. Les fonctions ajoutées au cours des derniers mois ne sont pas activées chez tout le monde. Ce fonctionnement flou est une marque de fabrique de Microsoft depuis longtemps. En revanche, l’arrivée de la 26H2 signifie dans la plupart des cas l’activation des nouveautés « dormantes », et elles peuvent être nombreuses.
Côté interface, beaucoup de bonnes choses
Si vous n’avez pas suivi l’actualité des derniers mois, la 26H2 peut être synonyme de bonne surprise, surtout dans les fonctions du quotidien. La barre des tâches récupère ainsi la possibilité d’être placée sur n’importe quel bord de l’écran, avec en plus une option pour réduire sa taille. Des fonctions présentes depuis longtemps dans les systèmes de Microsoft mais que Windows 11 avait supprimées.
Le menu Démarrer a droit à une refonte qui le rend nettement plus personnalisable. On peut désormais choisir précisément les sections à afficher, supprimer les catégories et les applications recommandées, avoir uniquement la liste alphabétique des applications installées, etc. Autre nouveauté, la possibilité de choisir entre des versions petite et grande du menu.
Autre gros morceau, la recherche est enfin à la hauteur. On peut ainsi désactiver les résultats web dans les options pour n’afficher que les contenus locaux. La recherche tolère maintenant les fautes de frappe (il était temps), affiche un aperçu des résultats et indexe automatiquement les dossiers fréquemment utilisés. On peut également supprimer la recherche dans le Microsoft Store.
L’Explorateur a reçu de son côté bon nombre d’améliorations. Il s’ouvre nettement plus vite et l’affichage de l’Accueil est plus rapide. On y trouve aussi la prise en charge d’autres types d’archives (uu, cpio, xar et nupkg), la conservation des préférences d’affichage et de tri (enfin !) ou encore la possibilité d’utiliser la dictée vocale pour renommer un fichier ou un dossier. En revanche, certains travaux arriveront plus tard, dont le menu contextuel remanié et personnalisable. Dans ce dernier, on peut quand même signaler le regroupement des actions OneDrive dans un sous-menu dédié.
Ces apports ont été répartis sur l’été et ne sont pas encore présents chez tout le monde. Si certains ne vous disent rien, l’installation de la 26H2 devrait changer la donne, la mise à jour étant surtout un « Enablement Package », pour reprendre la terminologie de Microsoft.
Du neuf pour la sécurité
L’un des plus gros apports de ces derniers mois est la protection Administrateur, dont le rôle est de remplacer les droits d’administration permanents. Les droits sont maintenant accordés au moment du besoin, avec séparation des profils pour renforcer le système contre l’élévation de privilèges. Dans les entreprises, cette fonction s’active via Intune ou une stratégie de groupe. Pour le grand public, l’option doit apparaitre dans le centre de sécurité, dans la section Protection du compte. Si elle n’est pas là, c’est qu’elle fait l’objet d’un déploiement progressif. Dans notre cas, elle est absente pour le moment.
Parmi les autres apports, signalons l’intégration native de Sysmon pour la capture des évènements système, que l’on peut ensuite utiliser pour de la détection de menaces. Smart App Control peut à présent être activé ou désactivé à la volée, sans plus nécessiter une réinstallation propre du système. Un changement majeur, car si la protection permet de surveiller le comportement des applications pour bloquer les comportements douteux, elle peut entrainer des soucis de compatibilité dans certains scénarios.
Voici d’autres nouveautés dans le domaine de la sécurité :
Windows accepte désormais les gestionnaires de mots de passe tiers pour les clés d’accès, s’ils sont compatibles avec cette nouvelle intégration à l’échelle du système
Windows Hello Enhanced Sign-in Security (ESS) prend en charge les lecteurs d’empreintes périphériques compatibles, et plus uniquement ceux intégrés dans les ordinateurs
Windows ne fait plus confiance par défaut aux pilotes à signature croisée, seuls restant admis les pilotes du programme WHCP et une liste de pilotes historiques de confiance
Prise en charge des algorithmes de cryptographie post-quantique ML-KEM et ML-DSA
Un peu de tout
Les modifications ajoutées au cours des derniers mois sont nombreuses. Voici une liste pêle-mêle de ce que vous pourriez avoir avec la version 26H2 si ces fonctions n’étaient pas déjà présentes.
Parmi les dernières nouveautés, on note un renforcement important de la fiabilité et des performances pour le Bluetooth, surtout dans des scénarios comme les appels, la reconnexion après veille prolongée, l’écoute via LE Audio, ou encore la synchronisation de la mise en sourdine. On trouve également du mieux pour l’USB, dont une connexion plus fiable des écrans via des docks et hubs USB4.
Windows Update se veut en outre plus léger sur ses procédures d’installations, avec moins de redémarrages. Les mises à jour éligibles sont installées en même temps que celles de sécurité et le mécanisme est capable de restaurer certains comportements. Par exemple, Windows Update peut sortir un PC de veille pour installer des correctifs et le remettre ensuite en veille. Ce cas ne survient que pour les machines configurées pour ne jamais se mettre en veille automatiquement, mais quand même plongées en veille manuellement. Microsoft ne donne pas d’autres précisions sur ce fonctionnement, qui reste en partie mystérieux.
Le gestionnaire des tâches récupère plusieurs nouvelles colonnes optionnelles : NPU, moteur NPU, mémoire NPU dédiée ou partagée, et « Isolation » pour pointer les applications exécutées dans un AppContainer.
Enfin, côté accessibilité, la Loupe accepte un pourcentage de zoom précis ainsi qu’un niveau de zoom distinct par écran en mode étendu. Le Narrateur intègre maintenant Braille Viewer et améliore la navigation dans Word. L’accès vocal comprend le langage naturel sur les PC Copilot+ et ajoute le français, l’allemand, l’espagnol et le coréen.
Installation et problèmes connus
Avant de vous lancer, sachez que plusieurs problèmes sont déjà connus et que cette liste peut évoluer fortement dans les prochaines semaines. Par exemple, les problèmes de son signalés apparus avec les derniers correctifs du Patch Tuesday sont considérés comme « atténués », mais pas complètement corrigés. Idem pour les soucis déjà signalés de perte d’approbation à des domaines en entreprise ou d’écran noir après connexion dans certains environnements de bureau virtuel.
Quant à l’installation, selon votre configuration, elle peut se révéler très rapide. Sur une machine en 25H2 à jour, la 26H2 ne va servir que de module d’activation pour les nouveautés des derniers mois. Elle ne sera pas plus lourde qu’une mise à jour mensuelle et ne devrait donc pas immobiliser longtemps la machine. Comme toujours, le temps dépend de la configuration logicielle et de la puissance de la machine.
À moins d’être passé au travers des déploiements progressifs des derniers mois, nous recommandons d’attendre que Windows Update propose de lui-même cette nouvelle version. Le déclenchement manuel de l’installation peut révéler des incompatibilités.
Enfin, la page de téléchargement de l’image ISO de Windows 11 a été mise à jour. Si vous avez envie ou besoin de réinstaller proprement le système, l’image fournie correspond bien désormais à la version 26H2 (build 26300).
Firefox 157 est désormais disponible au téléchargement, y compris en mise à jour. La nouveauté la plus visible littéralement est sa nouvelle interface. Baptisée Nova, elle ambitionne de moderniser le navigateur, en tablant largement sur les arrondis et des couleurs plus vivantes.
Il s’agit d’un changement visuel, qui n’implique pas de modifications plus profondes. Mozilla a pris soin de l’expliquer à plusieurs reprises, dont une dernière fois sur les réseaux sociaux le 23 septembre. L’arrivée de Nova ne change rien aux performances et n’a pas d’impact sur les extensions, les raccourcis ou encore les menus. Nova est disponible aussi bien dans la version pour ordinateurs que dans la mouture mobile.
L’ensemble se veut plus « propre », offrant moins de distractions visuelles. Nova affecte l’apparence de tous les éléments, de la forme des onglets aux couleurs de l’ensemble, en passant par les menus, les zones de sélection et ainsi de suite. Comme on pouvait cependant le voir sur X le 23 septembre, les réactions étaient globalement peu enthousiastes.
Nova est cependant là pour rester, même si rien n’empêche Mozilla d’adapter petit à petit cette interface aux retours des utilisateurs. Il s’agit également de l’interface par défaut de Firefox, elle ne peut pas être supprimée, même si le thème peut être changé. Il n’est pas non plus possible de revenir sur l’ancienne version. Et tant pis pour les personnes qui voient dans toutes ces rondeurs des abominations visuelles. Sur ce point, Vivaldi reste loin devant avec des options de personnalisation très poussées, dont la possibilité de régler l’arrondi des angles.
L’arrivée de Nova va de pair avec le retour d’une fonction réclamée à cor et à cri : le mode compact. Un retour d’autant plus bienvenu que Nova, dans son affichage par défaut, a tendance à prendre un peu plus de place. Le mode compact réduit ainsi la taille des onglets et des barres d’outils, y compris dans la barre latérale.
En dehors de Nova, il y a peu de nouveautés majeures. On note toutefois que le navigateur sait maintenant utiliser le décodage matériel pour AV1 pour les appels WebRTC si la machine utilisée en est capable.
Enfin, Firefox 157 corrige une longue liste de vulnérabilités, dont 38 critiques.
Firefox 157 est désormais disponible au téléchargement, y compris en mise à jour. La nouveauté la plus visible littéralement est sa nouvelle interface. Baptisée Nova, elle ambitionne de moderniser le navigateur, en tablant largement sur les arrondis et des couleurs plus vivantes.
Il s’agit d’un changement visuel, qui n’implique pas de modifications plus profondes. Mozilla a pris soin de l’expliquer à plusieurs reprises, dont une dernière fois sur les réseaux sociaux le 23 septembre. L’arrivée de Nova ne change rien aux performances et n’a pas d’impact sur les extensions, les raccourcis ou encore les menus. Nova est disponible aussi bien dans la version pour ordinateurs que dans la mouture mobile.
L’ensemble se veut plus « propre », offrant moins de distractions visuelles. Nova affecte l’apparence de tous les éléments, de la forme des onglets aux couleurs de l’ensemble, en passant par les menus, les zones de sélection et ainsi de suite. Comme on pouvait cependant le voir sur X le 23 septembre, les réactions étaient globalement peu enthousiastes.
Nova est cependant là pour rester, même si rien n’empêche Mozilla d’adapter petit à petit cette interface aux retours des utilisateurs. Il s’agit également de l’interface par défaut de Firefox, elle ne peut pas être supprimée, même si le thème peut être changé. Il n’est pas non plus possible de revenir sur l’ancienne version. Et tant pis pour les personnes qui voient dans toutes ces rondeurs des abominations visuelles. Sur ce point, Vivaldi reste loin devant avec des options de personnalisation très poussées, dont la possibilité de régler l’arrondi des angles.
L’arrivée de Nova va de pair avec le retour d’une fonction réclamée à cor et à cri : le mode compact. Un retour d’autant plus bienvenu que Nova, dans son affichage par défaut, a tendance à prendre un peu plus de place. Le mode compact réduit ainsi la taille des onglets et des barres d’outils, y compris dans la barre latérale.
En dehors de Nova, il y a peu de nouveautés majeures. On note toutefois que le navigateur sait maintenant utiliser le décodage matériel pour AV1 pour les appels WebRTC si la machine utilisée en est capable.
Enfin, Firefox 157 corrige une longue liste de vulnérabilités, dont 38 critiques.
Discord travaillerait sur un mode jeu pour réduire son empreinte sur le processeur et la carte graphique. Si l’information reste à confirmer, elle laisse sur le carreau la question de la mémoire vive, inévitablement associée aux applications Electron. La pression actuelle sur le marché de la RAM augmente encore l’effet grossissant.
Sur X, le compte Discord Previews a pour habitude de vendre la mèche sur les changements en préparation dans l’application, le plus souvent avec précision. Le 26 septembre, il a affirmé que Discord travaillait sur un « mode jeu ».
Le fonctionnement de ce mode serait à peu près le même que dans les systèmes d’exploitation qui en proposent aussi, notamment Windows 11 et macOS. « Une fois activé, le client Discord réduira automatiquement les animations et désactivera les effets lorsqu’il détectera qu’un jeu est en cours, libérant ainsi des ressources CPU et GPU qui pourraient aider votre jeu à tourner de manière plus fluide », indique le tweet.
Source : Discord Previews
Du CPU, du GPU, mais pas de RAM
Si cette annonce doit encore être confirmée officiellement, elle arrive dans un contexte particulier. Discord a souvent été accusée de consommer trop de mémoire, l’application étant basée sur Electron et embarquant, dans les grandes lignes, un navigateur quasi complet (Chromium) pour afficher ce dont elle a besoin, un fonctionnement qualifié de « wrapper web ». Un gros avantage bien sûr pour les développeurs : le code est pratiquement identique d’une plateforme à l’autre, permettant à Discord de proposer des clients pour tous les systèmes ou presque.
Côté utilisateur, c’est parfois une autre paire de manches. Le sujet avait atteint un pic en décembre 2025, quand un employé de Discord était venu sur Reddit pour évoquer une expérience menée par l’entreprise : le redémarrage automatique de l’application si les 4 Go de mémoire étaient atteints. Un cas rare selon l’employé, et un redémarrage n’intervenant que dans des conditions précises (inaction depuis 30 min, jamais pendant un appel, etc.), mais qui jetait une lumière crue sur la situation.
Or, le mode jeu – qui doit encore être confirmé – ne corrigerait pas ce point. Il s’attaquerait à la consommation CPU et GPU pour s’assurer que Discord ne prélève aucune ressource inutile. Mais il ne peut sans doute rien contre le fonctionnement même de la technologie Electron, souvent décriée pour cette raison.
Discord semble pourtant sérieuse sur le sujet des performances, avec certains pans de code réécrits en Rust, ou encore tout récemment le passage à la version 42 d’Electron. Cette dernière a permis de réduire l’utilisation médiane du processeur de 17 %, mais cette baisse s’est faite au prix d’une augmentation médiane de 4 % de la mémoire. Or, si le CPU et le GPU sont cruciaux pour les jeux, la quantité de mémoire disponible l’est également.
L’IA joue les trouble-fêtes
Windows Latest, qui a repris le tweet de Discord Preview, généralise ce type de constat à l’ensemble des applications Electron, notamment WhatsApp et Teams. Nos confrères pointent ces applications parce qu’elles sont fréquentes et peuvent donc fonctionner de concert sur la même machine. Ils militent pour le code natif, encourageant Discord à s’affranchir d’Electron pour une application moderne basée sur WinUI. Précisons que le code natif a beau être nettement plus léger, il demande souvent plus d’entretien, car il oblige à maintenir un plus grand nombre de spécificités pour chaque plateforme.
Cette « détestation » des applications Electron n’est pas nouvelle, mais elle prend une autre saveur à la jonction de deux trajectoires, intimement liées : la popularisation du « vibe coding » et les prix de la RAM.
On trouve depuis plusieurs mois un nombre croissant de témoignages de personnes s’étant lancées dans le développement, sans en avoir forcément les bases. L’objectif ? Répondre à un besoin spécifique ou… en finir avec les wrappers web. Sur X, l’Italien Carmine Paolino s’est par exemple fait un nom en développant Spotifast et Zapfast, des clients alternatifs pour respectivement Spotify et WhatsApp, développés en Rust et sous licence MIT.
Le problème, dans une grande partie des cas, est de pouvoir le faire avec un fonctionnement fiable, donc en passant par des API publiques. La zone est plus ou moins grise, selon le projet. Dans le cas de WhatsApp, les conditions d’utilisation interdisent ce type d’utilisation, l’entreprise se réservant le droit de bloquer les comptes qui en abuseraient.
Mais ces projets répondent à une demande autant qu’à une frustration. En juin dernier, nous relevions ainsi que la fin du client WhatsApp natif pour Windows avait laissé sa place à une application Electron, la consommation moyenne de mémoire explosant alors pour atteindre 1,2 Go, avec des pointes jusqu’à plus de 3 Go. Le mouvement était d’autant plus étonnant que l’ancienne version Windows était fluide et légère, ce qui soulignait une volonté d’économies au sein de Meta.
À l’heure où les prix de la mémoire continuent de grimper, les entreprises ne peuvent cependant plus compter sur l’accroissement « naturel » de la quantité moyenne de RAM. Parallèlement, la demande pour des applications et composants natifs augmente. Elle a notamment conduit Microsoft à faire une série d’annonces pour Windows 11 plus tôt dans l’année, l’éditeur affirmant que de gros efforts étaient en préparation dans ce sens, via son initiative K2.
Discord travaillerait sur un mode jeu pour réduire son empreinte sur le processeur et la carte graphique. Si l’information reste à confirmer, elle laisse sur le carreau la question de la mémoire vive, inévitablement associée aux applications Electron. La pression actuelle sur le marché de la RAM augmente encore l’effet grossissant.
Sur X, le compte Discord Previews a pour habitude de vendre la mèche sur les changements en préparation dans l’application, le plus souvent avec précision. Le 26 septembre, il a affirmé que Discord travaillait sur un « mode jeu ».
Le fonctionnement de ce mode serait à peu près le même que dans les systèmes d’exploitation qui en proposent aussi, notamment Windows 11 et macOS. « Une fois activé, le client Discord réduira automatiquement les animations et désactivera les effets lorsqu’il détectera qu’un jeu est en cours, libérant ainsi des ressources CPU et GPU qui pourraient aider votre jeu à tourner de manière plus fluide », indique le tweet.
Source : Discord Previews
Du CPU, du GPU, mais pas de RAM
Si cette annonce doit encore être confirmée officiellement, elle arrive dans un contexte particulier. Discord a souvent été accusée de consommer trop de mémoire, l’application étant basée sur Electron et embarquant, dans les grandes lignes, un navigateur quasi complet (Chromium) pour afficher ce dont elle a besoin, un fonctionnement qualifié de « wrapper web ». Un gros avantage bien sûr pour les développeurs : le code est pratiquement identique d’une plateforme à l’autre, permettant à Discord de proposer des clients pour tous les systèmes ou presque.
Côté utilisateur, c’est parfois une autre paire de manches. Le sujet avait atteint un pic en décembre 2025, quand un employé de Discord était venu sur Reddit pour évoquer une expérience menée par l’entreprise : le redémarrage automatique de l’application si les 4 Go de mémoire étaient atteints. Un cas rare selon l’employé, et un redémarrage n’intervenant que dans des conditions précises (inaction depuis 30 min, jamais pendant un appel, etc.), mais qui jetait une lumière crue sur la situation.
Or, le mode jeu – qui doit encore être confirmé – ne corrigerait pas ce point. Il s’attaquerait à la consommation CPU et GPU pour s’assurer que Discord ne prélève aucune ressource inutile. Mais il ne peut sans doute rien contre le fonctionnement même de la technologie Electron, souvent décriée pour cette raison.
Discord semble pourtant sérieuse sur le sujet des performances, avec certains pans de code réécrits en Rust, ou encore tout récemment le passage à la version 42 d’Electron. Cette dernière a permis de réduire l’utilisation médiane du processeur de 17 %, mais cette baisse s’est faite au prix d’une augmentation médiane de 4 % de la mémoire. Or, si le CPU et le GPU sont cruciaux pour les jeux, la quantité de mémoire disponible l’est également.
L’IA joue les trouble-fêtes
Windows Latest, qui a repris le tweet de Discord Preview, généralise ce type de constat à l’ensemble des applications Electron, notamment WhatsApp et Teams. Nos confrères pointent ces applications parce qu’elles sont fréquentes et peuvent donc fonctionner de concert sur la même machine. Ils militent pour le code natif, encourageant Discord à s’affranchir d’Electron pour une application moderne basée sur WinUI. Précisons que le code natif a beau être nettement plus léger, il demande souvent plus d’entretien, car il oblige à maintenir un plus grand nombre de spécificités pour chaque plateforme.
Cette « détestation » des applications Electron n’est pas nouvelle, mais elle prend une autre saveur à la jonction de deux trajectoires, intimement liées : la popularisation du « vibe coding » et les prix de la RAM.
On trouve depuis plusieurs mois un nombre croissant de témoignages de personnes s’étant lancées dans le développement, sans en avoir forcément les bases. L’objectif ? Répondre à un besoin spécifique ou… en finir avec les wrappers web. Sur X, l’Italien Carmine Paolino s’est par exemple fait un nom en développant Spotifast et Zapfast, des clients alternatifs pour respectivement Spotify et WhatsApp, développés en Rust et sous licence MIT.
Le problème, dans une grande partie des cas, est de pouvoir le faire avec un fonctionnement fiable, donc en passant par des API publiques. La zone est plus ou moins grise, selon le projet. Dans le cas de WhatsApp, les conditions d’utilisation interdisent ce type d’utilisation, l’entreprise se réservant le droit de bloquer les comptes qui en abuseraient.
Mais ces projets répondent à une demande autant qu’à une frustration. En juin dernier, nous relevions ainsi que la fin du client WhatsApp natif pour Windows avait laissé sa place à une application Electron, la consommation moyenne de mémoire explosant alors pour atteindre 1,2 Go, avec des pointes jusqu’à plus de 3 Go. Le mouvement était d’autant plus étonnant que l’ancienne version Windows était fluide et légère, ce qui soulignait une volonté d’économies au sein de Meta.
À l’heure où les prix de la mémoire continuent de grimper, les entreprises ne peuvent cependant plus compter sur l’accroissement « naturel » de la quantité moyenne de RAM. Parallèlement, la demande pour des applications et composants natifs augmente. Elle a notamment conduit Microsoft à faire une série d’annonces pour Windows 11 plus tôt dans l’année, l’éditeur affirmant que de gros efforts étaient en préparation dans ce sens, via son initiative K2.
Apple a déployé ce 28 septembre des mises à jour pour l’ensemble de ses plateformes 26 pour les iPhone, iPad et Mac. Ces mises à jour sont estampillées « 26.7.1 », mais macOS Sequoia a également droit à une version 15.8.1.
Le rapport est laconique : « Traiter un fichier mal conçu peut entraîner une exécution de code arbitraire. Apple est au courant d’un rapport selon lequel ce problème aurait pu être exploité lors d’une attaque extrêmement sophistiquée contre des individus ciblés spécifiques sur des versions antérieures à iOS 27 ».
Tout juste apprend-on qu’elle se situe dans le composant CoreGraphics et est de type « écriture hors limites ». Estampillée CVE-2026-86950, sa découverte est attribuée à Meta. Sur le site du NIST, on peut lire que la faille a reçu un score de sévérité de 8,8.
Illustration : Flock
Il n’est pas rare qu’Apple publie ce genre de correctif en urgence, sans attendre des versions un peu plus « majeures ». Les mots employés laissent penser qu’il s’agit d’une attaque menée par un groupe étatique, ce qu’Apple suggère souvent par « attaque extrêmement sophistiquée ».
Si l’expression a tendance à faire penser à des profils particuliers (personnalités politiques, activistes, journalistes…), il est recommandé d’installer la mise à jour au plus vite, ce qui entraînera le redémarrage de l’appareil. La situation est d’autant plus urgente que la publication d’un correctif entraîne mathématiquement une plus grande attention sur le composant incriminé, avec le danger que d’autres trouvent la faille.
À noter qu’Apple a publié également des versions 27.0.1 pour ses nouveaux systèmes. La société précise qu’il n’y a pas de CVE associé, donc a priori pas de problèmes de sécurité, à moins que ces informations soient ajoutées plus tard. En revanche, ces mises à jour corrigent plusieurs défauts de jeunesse, notamment un souci pénible avec Face ID sur les iPhone 18 Pro et Pro Max.
Connexion
