Cinq informations pour ce vendredi, et une seule urgence : si vous hébergez une forge Forgejo, la mise à jour passe avant le café.
1. Forgejo corrige une exécution de code à distance venue des dépôts modèles
Les versions 16.0.4 et 15.0.8 colmatent une faille classée critique par le projet lui-même. Le
scénario est élégant et désagréable : quand on crée un dépôt à partir d’un modèle, Forgejo clone
le modèle, supprime son dossier .git, remplace les variables dans les fichiers désignés, puis
initialise un nouveau dépôt. Cette étape de remplacement pouvait servir à fabriquer un dossier
.git que git adoptait ensuite. Un modèle malveillant lisait alors des données arbitraires sur
le serveur et y exécutait des processus. Deux autres faiblesses sont corrigées au passage, dont
une qui laissait un appelant non authentifié télécharger les pièces jointes de versions en
brouillon sur un dépôt public. L’équipe avait prévenu le 5 septembre qu’une sortie de sécurité
arriverait le 10, sans en dire la nature : c’est la bonne façon de faire.
2. Shopify abandonne React Native et revient à Swift et Kotlin
Après six ans de multiplateforme, la société repasse à deux bases de code distinctes. Sa justification n’est pas technique mais économique, et elle mérite d’être citée : le natif implique toujours de construire et de maintenir sur deux plateformes, ce coût n’a pas disparu, mais les agents font désormais assez du travail d’implémentation, de traduction, de test et de relecture. Autrement dit, l’argument qui avait fait gagner React Native en 2020, ne pas écrire deux fois la même fonctionnalité, ne pèse plus assez lourd. Des trois bibliothèques React Native que Shopify maintenait, deux changent de mains et la troisième sera archivée fin 2026.
3. Anthropic publie son rapport sur les détournements de Claude
Le document couvre décembre 2025 à août 2026 et sept domaines, de l’espionnage aux escroqueries. Ce qu’il faut en retenir n’est pas la liste des groupes mais une phrase de méthode : la sophistication d’une attaque ne dit plus qui l’a menée. Les opérations décrites s’appuient sur des cadres d’agents autonomes publics et tournent avec une intervention humaine minimale. Le rapport est signé par l’entreprise dont nous utilisons les outils tous les jours, ce qui ne le rend ni suspect ni sacré : il se lit comme un rapport d’éditeur, avec ce que ça implique.
4. Rust passe au premier rang des langages chez Microsoft
Victor Ciura, ingénieur principal chez Microsoft, l’a annoncé mercredi : Rust rejoint C++, C# et
TypeScript parmi les langages les mieux soutenus en interne. Le statut n’est pas honorifique, il
désigne un chemin outillé du poste de développement à la production, avec chaîne de compilation
vérifiée et conformité aux exigences de sécurité maison. Derrière, il y a rustc_codegen_utc, un
générateur de code qui branche le compilateur Rust sur l’infrastructure MSVC : plus de cent
dépôts Microsoft compilent déjà avec lui.
5. Gemini arrive en application native sur Windows
Google a sorti son application de bureau pour Windows 10 et 11, cinq mois après la version macOS. Le geste central est un raccourci, Alt et Espace, qui fait apparaître Gemini par dessus la fenêtre active pour poser une question sans changer de contexte. L’application va chercher dans Gmail et Drive, et génère images et vidéos. Certaines fonctions demandent un abonnement Google AI. Ce n’est pas une nouveauté de modèle, c’est une nouveauté de place : l’assistant s’installe à portée de raccourci, là où vous travaillez déjà.
