Édition du jour ·
ArboNews résume chaque matin l'actu IA, tech et dev web, crypto, business et sécurité, en français, avec la source de chaque info.
Aujourd'hui
Meta publie les poids de Muse Spark Open tandis que NVIDIA élargit sa famille Nemotron 3.5. Dans la cybersécurité, Proofpoint rachète Varonis pour 6,3 Md$ et Cohere s'empare d'AISLE. Côté crypto, le bitcoin a frôlé les 80 000 $ après une inflation américaine à la production plus forte que prévu.
18 actus
Muse Spark Open est un modèle multimodal de 816 milliards de paramètres (42 milliards actifs) avec une fenêtre de contexte d'un million de tokens, conçu pour le code et les tâches agentiques. Ses poids sont téléchargeables et il peut tourner en local sur deux Mac Studio M5 Ultra.
NVIDIA publie Nemotron 3.5 Super VL, un modèle ouvert multimodal de 120 milliards de paramètres pour agents, ainsi que Bolt 74B-A9B destiné au local avec support de llama.cpp, Ollama et LM Studio. Bolt E4B est annoncé pour le 23 octobre.
Six évaluateurs de l'organisation METR disposent désormais d'un accès aux outils internes d'Anthropic comparable à celui de ses équipes de risque. METR pourra publier ses analyses sans veto, Anthropic ne pouvant exiger que des expurgations dans des catégories prédéfinies.
Vercel fait de Python un langage de premier plan, avec détection automatique de FastAPI, Flask et Django et prise en charge de uv et pyproject.toml. Vercel Services permet de déployer ensemble un backend Python et un frontend JavaScript.
La version 3.6 de Symfony UX regroupe plus de 100 pull requests et introduit trois paquets expérimentaux. Toutes les recettes du UX Toolkit sont désormais testées dans un vrai navigateur, ce qui a permis une trentaine de corrections.
La mise à jour Chrome 155 corrige notamment un dépassement de tampon dans ANGLE sur Android et un use-after-free dans le lecteur PDF permettant l'exécution de code hors sandbox. Le déploiement se fait progressivement.
L'indice des prix à la production américain a grimpé de 6,3 % sur un an en septembre, contre 5,3 % attendus, entraînant environ 930 M$ de liquidations sur les dérivés crypto. Le bitcoin est brièvement passé sous 80 000 $ avant de remonter vers 82 000 $.
Les ETF bitcoin spot américains ont enregistré environ 262 M$ de sorties nettes mercredi et les ETF ether environ 130 M$. Les ETF XRP sont la seule catégorie suivie à rester en entrées nettes sur la semaine.
Le régulateur australien ASIC a ouvert une consultation sur des standards couvrant la ségrégation des fonds clients, la transparence des échanges et les exigences financières. Les règles entreront en vigueur le 8 avril 2027.
Selon Blockaid, une faille comptable des contrats Vesting V2 d'UNCX a permis de drainer environ 1,49 M$ sur BNB Smart Chain, Ethereum, Robinhood Chain et Base, avec l'aide de copieurs et de bots MEV. UNCX a relevé ses frais pour rendre l'attaque non rentable.
Proofpoint, détenu par Thoma Bravo, va acquérir Varonis en numéraire à 49,75 $ par action. La transaction, approuvée à l'unanimité par le conseil de Varonis, doit être finalisée au premier semestre 2027.
Cohere a annoncé un projet d'acquisition d'AISLE, spécialiste de la découverte autonome de vulnérabilités logicielles. Les fondateurs d'AISLE prennent la tête de la nouvelle division Cohere Cyber, avec un pôle mondial à Prague.
La startup d'assurance habitation Stand a bouclé une série C de 70 M$ menée par Saga Ventures. Elle simule chaque maison pour évaluer le risque incendie et assure désormais plus de 10 Md$ de biens.
CVE-2026-110447, publiée le 14 octobre, est une injection de commande non authentifiée dans le script proxy.php de l'application Collabora Online Built-in CODE Server (richdocumentscode) pour Nextcloud, versions antérieures à 26.4.303. L'attaque n'est possible que lorsque le serveur CODE embarqué n'est pas démarré, par exemple après un redémarrage ; le score CVSS 4.0 attribué est de 9,2. L'avis indique une exploitation en conditions réelles en septembre et octobre 2026 ; les serveurs Collabora autonomes ne sont pas concernés.
CVE-2026-110922, corrigée le 15 octobre dans Chrome 155.0.8059.84 (Linux) et 155.0.8059.84/.85 (Windows et Mac), est un use-after-free dans le composant Prerender. Un attaquant distant peut exécuter du code arbitraire dans le bac à sable via une page HTML piégée ; Google la classe en criticité Critical et le NVD lui attribue un score CVSS de 8,8. Le même lot corrige neuf autres failles, dont plusieurs corruptions mémoire notées High.
CVE-2026-108097, publiée le 14 octobre dans l'avis SA-CORE-2026-014, est une exécution de code à distance dans le module Field UI de Drupal core. Elle n'est pas exploitable avec le seul cœur Drupal, mais plusieurs chemins d'attaque existent via des modules contribués, dont au moins un sans authentification ; Drupal la note Critical. Les correctifs sont les versions 10.6.19, 11.3.19 et 11.4.10 ; désinstaller le module field_ui constitue une mitigation temporaire.
CVE-2026-49950, enregistrée le 13 octobre et détaillée le 16 octobre par VulnCheck, touche toutes les versions publiées de Xorbits Xoscar jusqu'à 0.11.2. Chaque message reçu par un actor pool est désérialisé avec cloudpickle.loads() sans authentification, ce qui permet une exécution de code à distance ; le CNA VulnCheck attribue un score CVSS de 9,8. Aucun correctif n'est disponible à la publication ; en mode distribué Xinference, les ports d'actors exposés sur le réseau sont particulièrement à risque.
CVE-2026-92817, relayée par la CISA le 13 octobre (avis ICSA-26-286-01) et présente dans le NVD le 14 octobre, touche le module Perspective d'Inductive Automation Ignition (8.1.0 à 8.1.54 et 8.3.0 à 8.3.8). Un utilisateur authentifié disposant d'un accès Vision peut obtenir des privilèges Designer et exécuter du code dans le processus Ignition Gateway ; le score CVSS 3.1 est de 8,8. Les correctifs sont les versions 8.1.55 et 8.3.9 ; aucune exploitation publique n'était signalée à la CISA au moment de l'avis.
Cette édition a son adresse permanente :/edition/2026-10-16/