Si vous ne retenez qu’une chose : mettez votre noyau Linux à jour aujourd’hui, les exploits des quatre failles sont publics.
1. Une conjecture ouverte depuis cinquante ans, démontrée par un développeur
Dan Abramov, connu pour Redux et pour ses années dans l’équipe React, se décrit comme « math noob ». Il vient pourtant de publier une démonstration de la conjecture de raffinement de Conway sur les entiers omnifiques, ouverte depuis un demi-siècle, avec son code Lean dans un dépôt public.
Un mois de son temps libre, environ 40 milliards de jetons dont 210 millions en sortie, qu’il estime à 40 000 dollars aux tarifs d’API. Il a fait travailler plusieurs modèles en parallèle, avec des rôles séparés, et il écrit noir sur blanc que des mathématiciens n’ont pas relu la preuve.
Ce qui rend l’histoire solide malgré tout, c’est Lean : dans un prouveur formel, une démonstration inventée ne compile pas. C’est la différence entre cette affaire et les modèles qui annoncent des théorèmes dans un fil de discussion.
2. ZCode téléverse tout votre historique Git chez Alibaba
Un développeur a
démonté le client ZCode de Z.ai
et mesuré ce qu’il envoie. Sur un projet commercial : une archive chiffrée de 313 Mo pour
42 411 fichiers, dont 86,6 % viennent du .git, cache LFS et journaux de références
compris, poussée vers le stockage objet d’Alibaba. Et 564 tentatives d’envoi échouées
attendaient en file.
Le chiffrement est réel, mais la clé privée ne quitte jamais les serveurs de l’éditeur : vous ne pouvez pas relire vos propres archives. Les deux interrupteurs de l’interface ne coupent pas le mécanisme. Notre avis : la politique de confidentialité parle de code soumis en conversation, pas de dépôts entiers, et l’écart est trop grand pour être un oubli de rédaction.
3. Quatre élévations de privilèges dans le noyau Linux, exploits publics
Annoncées le 18 septembre sur la liste oss-security : DirtyAH6 (CVE-2026-80844), TUNderflow (CVE-2026-81000), PPPoEject (CVE-2026-68121) et DiagSpill (CVE-2026-74469). Toutes donnent root à un utilisateur local, toutes vivent dans du code réseau, et la plus ancienne est là depuis la série 2.6.12.
Les versions qui corrigent l’ensemble : 5.10.270, 5.15.221, 6.1.188, 6.6.157, 6.12.109, 6.18.50 et 7.2.4. DiagSpill n’a besoin ni d’espace de noms utilisateur ni de capacité particulière quand SCTP est disponible. Des démonstrateurs d’exploitation circulent déjà.
4. OpenAI piraté, et le vrai fait est le changement de modèle
Hacktron raconte l’opération : un dépassement de tas dans libheif 1.19.7 sous Discourse, plus une erreur de configuration SSO, jusqu’à ouvrir la pull request 1186742 dans le dépôt interne d’OpenAI. Prime de 6 500 dollars.
Le détail qui compte est ailleurs. Opus 4.8 produisait un exploit seulement avec l’ASLR désactivé et butait dès qu’on le rallumait. Opus 5 est sorti le soir du 24 juillet, les chercheurs ont changé de modèle, et un exploit ARM64 fonctionnel est tombé en trois heures. À noter : tout cela s’est passé en juillet, c’est la publication qui date de cette semaine.
5. Deux laboratoires français veulent attraper les portes dérobées au commit
Lily, présenté dans un papier accepté à ASE 2026, vient du CEA List et de Télécom Paris, avec Stefano Zacchiroli parmi les auteurs, trois fois chef du projet Debian et cofondateur de Software Heritage.
L’idée : brancher un fuzzing comparatif sur l’intégration continue, dans les dix minutes qu’une chaîne s’accorde, et signaler tout comportement déclenché par une entrée particulière. C’est exactement le trou par lequel CrowdSec a perdu son code source hier, par une dépendance compromise. Résultats annoncés : 90 % de détection au commit, 83 % à la publication, pour 0,2 % de fausses alertes sur les commits sains et 4,3 % sur les publications saines.
Une précision qui saute dans les reprises : les auteurs disent que Lily aurait arrêté trois incidents réels, et xz utils n’en fait pas partie. Il est cité comme la menace qu’on veut éviter, pas comme un cas rattrapé.
