Vendredi soir, 19h. Le dernier de l'équipe ferme son poste et part en congés. Le bureau est vide jusqu'au 25 août.

Ton pipeline, lui, tourne toujours. Il se réveille à trois heures du matin, tire ses dépendances, construit, teste, déploie. Il fait ça très bien, tout seul, depuis des mois. C'est même pour ça qu'on l'a écrit.

Cette semaine, Microsoft a publié l'anatomie de ChainDrop : un ver qui vole les identifiants sur les postes de développeurs et dans les pipelines, s'authentifie sur npm, GitHub, AWS, Kubernetes et HashiCorp Vault, puis republie tout seul les paquets qu'il a compromis. Il n'a pas besoin qu'on l'aide, juste qu'on ne regarde pas.

Il y a des semaines où on peut sauter un lundi. Ce n'est pas celle-là. 12 minutes, et on retourne tous les deux au transat.

Trois échéances, et la première tombe demain :

ChainDrop : un ver qui vole tes identifiants et se republie tout seul

Microsoft Security Research publie l'anatomie complète de ChainDrop, une compromission de chaîne d'approvisionnement d'un genre nouveau. Le ver utilise des charges JavaScript Bun obfusquées pour voler les identifiants présents sur les postes de développeurs et dans les pipelines d'intégration continue. Avec ces identifiants, il s'authentifie ensuite sur npm, GitHub, AWS, Kubernetes et HashiCorp Vault, puis republie automatiquement les paquets qu'il a compromis. Chaque poste infecté devient un vecteur de propagation vers les dépendances suivantes. La semaine dernière, npm et GitHub Actions annonçaient un durcissement de leur chaîne d'approvisionnement : on sait maintenant contre quoi. Et la question qui fâche n'est pas de savoir si tes développeurs ont des identifiants en clair sur leur poste, mais où ils sont exactement. Lire la suite

Trusted Launch s'active par défaut sur toutes tes nouvelles VM Azure

Azure bascule : après une simple inscription au niveau de l'abonnement, toutes les nouvelles machines virtuelles Gen 2 et tous les groupes de machines virtuelles identiques démarrent avec Secure Boot et vTPM activés. Portail, CLI, ARM, Bicep, Terraform : le comportement change sur tous les modes de déploiement. Pour la conformité, c'est une bonne nouvelle qui supprime des dizaines de lignes de politique. Pour l'exploitation, c'est un changement à cadrer avant qu'il ne surprenne quelqu'un : les images personnalisées non signées, les pilotes tiers non conformes et les charges qui dépendent d'un démarrage non vérifié vont rencontrer une réalité nouvelle. Rien n'est rétroactif sur l'existant, ce qui laisse un parc à deux vitesses jusqu'à ce que tu traites la question. Lire la suite

Le memberOf des groupes dynamiques Entra part en retraite en octobre 2026

Microsoft retire l'opérateur de règle memberOf utilisé dans les appartenances dynamiques de groupes. Ce n'est pas une dépréciation lointaine : c'est octobre, et il n'existe pas de remplacement direct. Les groupes qui s'appuient sur cet opérateur pour dériver leur appartenance d'un autre groupe devront être repensés, pas migrés. Le problème pratique arrive avant : la plupart des organisations ne savent pas combien de groupes sont concernés, parce que la règle est enfouie dans une expression d'appartenance dynamique que personne ne relit. Un script Graph PowerShell permet de les identifier, et c'est la première chose à faire avant de discuter des alternatives. Ce genre de retrait ne casse rien le jour J : il casse les affectations d'accès qui en dépendaient, et personne ne fait le lien.

Paiement à l'usage pour les ESU de Windows Server 2016, avec inventaire d'actifs intégré et raccordement direct à Azure Update Manager, Change Tracking et Azure Policy. Pour les parcs qui ne migreront pas d'ici l'échéance, c'est le chemin le moins douloureux. En savoir plus

Un guide en cinq étapes pour rationaliser la rotation des mots de passe d'administrateur local à travers les trois implémentations, en hybride comme en multicloud. La cible : réduire la surface de déplacement latéral.

Aucun remplacement direct. Microsoft recommande d'identifier les groupes impactés via Graph PowerShell et de planifier une alternative dès maintenant.

Déploiement progressif de l'authentification par défaut, du SMS vers les Passkeys, avec une fenêtre de préparation pour limiter la casse côté utilisateurs. Rappel : la procédure d'exclusion temporaire court du 1er septembre 2026 au 1er février 2027.

Le risque utilisateur s'appuie désormais sur des signaux d'identité unifiés remontés depuis les Endpoints et les identités Cloud, pour automatiser la remédiation plus tôt dans la chaîne.

Un guide sur la restriction de l'enregistrement d'applications pour les comptes standard, et sur ce que tu casses en la désactivant. À lire avant de le faire, pas après.

La version 1.2.0 ajoute la gestion des travaux de provisionnement d'applications Entra, avec la visibilité qui manquait sur les opérations de connecteurs.

AES-KW entre en Public Preview et permet de passer d'une gestion adossée à RSA à un enveloppement résistant aux attaques quantiques. La cryptographie post-quantique entre en production sans faire de bruit. En savoir plus

Retour d'expérience sur une attaque stoppée chez QNET grâce à l'isolation automatique d'appareil. Le chiffre est frappant, le mécanisme l'est plus : l'isolation se déclenche sans intervention humaine.

Les intégrations en deux temps, liste puis détail, deviennent configurables sans code d'orchestration. Un générateur de playbooks assisté par IA passe par ailleurs en disponibilité gratuite pour tous les clients Sentinel.

Limitation des actions, durcissement des surfaces et supervision renforcée, en réponse aux incidents récents impliquant des agents autonomes.

Routage natif à l'échelle du Cloud, accéléré matériellement, avec prise en charge des charges IA, des architectures en étoile étendues, d'IPv6 et du multi-région. Une alternative gérée aux solutions à base de machines virtuelles. En savoir plus

Le trafic HTTP et HTTPS peut être routé directement via le pare-feu par les paramètres de proxy standards, sans redirection implicite.

Accès privé aux services PaaS comme Azure Storage et Azure SQL depuis des réseaux virtuels IPv6, y compris depuis l'On-Prem via ExpressRoute. En savoir plus

Répartition de charge basée sur le DNS par liaison directe des enregistrements, sans passer par des mappages CNAME supplémentaires.

Une nouvelle propriété permet de configurer les passerelles en mono ou multi-rattachement, pour verrouiller le niveau de redondance attendu.

Secure Boot et vTPM appliqués automatiquement à toutes les nouvelles VM Gen 2 et scale sets, après inscription de l'abonnement. En savoir plus

La série, taille DCas_c comprise, disparaît. Migration ou redimensionnement à planifier. En savoir plus

La même distribution optimisée pour le Cloud sur ton poste, tes pipelines et tes services Azure. Objectif affiché : réduire la dérive d'environnement entre le développement et la production.

Azure Storage Mover prend en charge la migration sans agent, ce qui supprime le besoin d'outillage tiers dédié.

Azure SQL Database et Managed Instance protègent automatiquement les sauvegardes de restauration dans le temps des sept derniers jours, sans configuration. Une défense native contre le rançongiciel et l'erreur de manipulation. En savoir plus

La réduction des versions SAN dans les certificats d'instance peut casser les connexions clientes qui utilisent un point de terminaison local au réseau virtuel avec HostNameInCertificate.

Support natif des expressions régulières en T-SQL, avec quatre fonctions associées, pour la correspondance de motifs avancée.

Azure Database for PostgreSQL gère mieux les métadonnées de grands objets pendant les montées de version majeures, ce qui débloque les bases allant jusqu'à 500 millions de grands objets.

Évite qu'une mise à niveau de cluster ne se bloque sur des restrictions d'éviction de pods mal calibrées.

Passent en disponibilité générale : recommandations de mauvaise configuration Kubernetes, mises à niveau AKS, évaluation de vulnérabilités à l'exécution sur EKS et GKE, et analyse améliorée des conteneurs Docker durcis.

Table Storage pour l'état des tâches, Service Bus pour l'exécution des éléments de travail : la continuité est assurée à travers les recyclages d'instance et les montées en charge.

Conversion du contenu web en Markdown orienté texte, avec une réduction moyenne de 97 % de la taille des réponses servies aux agents, pour moins de 2 ms de conversion.

L'extension VS Code prend en charge l'authentification par identité managée en développement local comme au déploiement, sans changement de code entre environnements.

Azure a retiré TLS 1.0 et 1.1 : les écouteurs qui négocient encore ces protocoles échouent à se connecter.

Tableaux de bord dynamiques, requêtes enregistrées, filtrage amélioré, prise en charge des modèles et synchronisation Git pour les tableaux de bord gérés comme du code. En savoir plus

Traçage OpenTelemetry natif qui enregistre chaque exécution d'agent, le modèle utilisé, les détails de session et tous les appels d'outils ou de sous-agents. Aucun code de télémétrie à écrire.

Chiffrement mémoire matériel et attestation pour exécuter des charges sensibles sur de l'infrastructure de périphérie que tu possèdes. En savoir plus

Les signaux d'Azure Local remontent dans les plateformes de supervision déjà en place, sans changer les workflows des environnements réglementés.

Accès contextuel et sécurisé aux projets Azure DevOps depuis un assistant IA, via un point de terminaison hébergé. Plus d'installation locale. En savoir plus

Authentification par identité de charge de travail via principal de service ou identité managée, avec accès inter-organisations au sein d'un même tenant Entra. Un secret de moins à faire tourner.

Huit écosystèmes de paquets couverts, dont PyPI, par intégration des données de paquets malveillants d'OpenSSF dans la base d'avis GitHub.

Découpage des gros changements générés par IA en couches relisables, pour réduire les conflits de fusion et rendre la revue tenable.

Microsoft met à jour son outil d'évaluation Zero Trust et ajoute un pilier DevSecOps dédié à la sécurisation des agents IA et des workflows.

La CLI évalue la maturité de tes serveurs MCP pour la production, note les définitions d'outils et rend une liste priorisée d'améliorations. Le toolkit encadre les actions sensibles à l'exécution.

Pour Defender for Cloud, qui unifie sécurité Cloud et sécurité de l'IA sur une même plateforme.

Le harness GitHub Copilot arrive dans Copilot Studio avec Opus 5 et GPT-5.6 Sol, pour améliorer l'usage multi-outils, l'analyse de fichiers et de code sur les processus métier complexes.

Gouvernance centralisée des charges IA : sécurité des modèles, contrôle des coûts et conformité via une supervision et une gestion d'accès unifiées. En savoir plus

Ingestion des fichiers SharePoint dans Databricks via Lakeflow Connect, sans pipeline maison. En savoir plus

Azure Databricks prolonge la période promotionnelle et lève les contraintes budgétaires sur ces deux services.

Azure Speech préserve la séparation des canaux stéréo tout au long de la transcription, ce qui maintient l'attribution des locuteurs sans infrastructure supplémentaire. Un gain direct pour les centres de contact.

Intégration avec GitHub Copilot et le SDK Copilot pour construire, exécuter et distribuer des agents autonomes vers Teams et Microsoft 365 Copilot.

Les agents retiennent interactions et préférences d'une session à l'autre, via ContextProviders et une base comme Azure Cosmos DB.

Analyse des traces d'échec en langage naturel et propositions de changements de configuration ciblés, sans le coût ni le risque d'un réentraînement complet.

Foundry pour l'évaluation de qualité et de sûreté des modèles, PyRIT pour le red teaming fin sur l'injection de prompt, la fuite de données et le détournement d'outils. Complémentaires, pas concurrents.

Trusted Launch s'active par défaut sur les nouvelles machines virtuelles, mais rien n'est rétroactif. Ton parc existant reste tel quel, et tu vas te retrouver avec deux populations : les nouvelles VM sécurisées d'office, et les anciennes. Avant que l'écart ne devienne une ligne dans un rapport d'audit, sors la liste :

Ce que la commande retourne :

Note : lecture seule, aucun effet de bord. Toutes ne sont pas éligibles, les VM Gen 1 doivent d'abord être converties. Mais cette liste te donne le périmètre réel, pas une estimation. Ajoute --subscription pour balayer plusieurs Subscriptions Azure.