Le zero-day exploité du mois est coté 7.0. Pas critique. Important.

Il permet à un attaquant déjà présent sur la machine de passer SYSTEM en gagnant une race condition. C'est cette difficulté qui fait baisser le score. Sauf que le groupe Lazarus y arrive, en production, pour charger un rootkit noyau dans une campagne visant des organisations de défense en Europe et en Inde. La CISA l'a ajouté à son catalogue avec une échéance au 25 août.

À côté, une faille à 9.8 sur le serveur DNS de Windows, exploitable à distance sans authentification et sans interaction, est cotée « exploitation moins probable » par Microsoft. Le Zero Day Initiative a résumé son avis en une phrase : je ne compterais pas là-dessus.

Environ 400 CVE ce mois-ci. Le chiffre ne t'aide pas. Ce qui décide de l'ordre, c'est le statut d'exploitation et l'exposition réseau.

Trois urgences cette semaine, classées par ordre de patch réel. Si tu ne fais qu'une chose après cette édition, commence par la première.

Novembre se remplit pendant que tu regardes septembre

Trois échéances Entra et Databricks fermes ont été annoncées cette semaine, toutes pour novembre. Le 3, l'opérateur memberOf disparaît des règles d'appartenance dynamique de groupes et d'unités administratives, sans remplacement direct. Le 9, la réinitialisation de mot de passe en libre-service exigera des méthodes d'authentification déjà enregistrées, ce qui casse le scénario de l'utilisateur qui découvre le SSPR le jour où il en a besoin. Le 1er, le Runtime Databricks 10.4 LTS atteint sa fin de vie. Aucune des trois ne fait de bruit aujourd'hui, parce que tout le monde regarde le 1er septembre et sa bascule Passkeys. Et le problème avec memberOf n'est pas la migration : c'est qu'avant de migrer, il faut savoir combien de groupes sont concernés, et la règle est enfouie dans une expression que plus personne ne relit. Un retrait d'opérateur ne casse rien le jour J. Il casse les affectations d'accès qui en dépendaient. Lire la suite

L'agent IA obtient enfin un bac à sable, et la question change

Azure Container Apps Sandboxes entre en Preview : des environnements isolés pour exécuter du code IA non fiable, avec instantanés, contrôles de sortie réseau, identités managées et intégration au réseau virtuel. Templafy l'utilise déjà en production. Ce qui compte n'est pas la fonctionnalité, c'est le glissement qu'elle acte, et que le blog Apps on Azure a résumé cette semaine dans un titre : arrêtez de restreindre l'agent, restreignez son environnement. Trois autres publications vont dans le même sens, du harnais Agent Framework qui n'autorise que lister, lire et chercher, jusqu'à l'ingénierie de la récupération après échec dans Foundry. Depuis deux ans, la question était : comment faire confiance à ce que l'agent décide ? Elle devient : qu'est-ce qu'il peut atteindre quand il se trompe ? Lire la suite

Microsoft descend jusqu'au silicium pour faire baisser le coût de l'agentique

Microsoft a publié cette semaine sa vision d'ensemble, du silicium aux systèmes, autour de deux puces maison : Maia 200 pour l'accélération IA et Azure Cobalt 200 pour le calcul général. L'argument n'est pas la performance brute, c'est la courbe de coût et de complexité des charges agentiques, que Microsoft dit vouloir infléchir en alignant modèles, logiciels et matériel. En parallèle, un billet Azure sur l'économie de l'optimisation d'agents explique comment passer du pilote au retour mesurable, avec la visibilité au niveau applicatif et les contrôles intégrés à la plateforme. Les deux publications disent la même chose depuis deux étages différents. Pour un décideur qui a lancé des pilotes IA en 2026 sans jamais voir la facture converger, c'est le signal que Microsoft considère le problème comme structurel, pas comme un réglage. Lire la suite

Paiement à l'usage pour les mises à jour de sécurité étendues, avec inventaire d'actifs intégré et raccordement direct à Azure Update Manager, Change Tracking et Azure Policy. Pour les parcs qui ne migreront pas à temps, c'est le chemin le moins douloureux. En savoir plus

Échange direct avec les équipes d'ingénierie sur les nouvelles fonctionnalités de gestion, les bonnes pratiques et l'orientation produit. En savoir plus

Produit principal et patch spécifique 2022.2, orientés sécurité et défauts critiques. En savoir plus

Tu peux faire relire un script T-SQL sans qu'il soit exécuté. Le mode Agent gagne par ailleurs les outils de l'Object Explorer. En savoir plus

Fini le scénario de l'utilisateur qui découvre la réinitialisation en libre-service le jour où il en a besoin. Référence Message Center MC1325414. En savoir plus

Les identités qui s'appuient sur des noms de dépôt, de branche ou d'environnement reposent sur des valeurs modifiables, donc récupérables. MC1447671. En savoir plus

Contrôle centralisé des environnements multi-tenants, avec application cohérente des politiques et réduction du risque de dérive entre tenants liés. En savoir plus

WHfB et le Platform SSO macOS peuvent désormais servir de facteur MFA à part entière, et un utilisateur peut enregistrer une passkey comme premier facteur. MC1450134 et MC1450133. En savoir plus

Le débit d'inspection monte à 22 Gbps et la capacité par connexion double, à 600 Mbps. En savoir plus

Plus de 80 organisations touchées depuis juillet 2025. Le maliciel utilise la langue et le géo-repérage pour éviter certaines régions. En savoir plus

Les organisations SAP doivent basculer sur une autre méthode de journalisation avant cette date, sous peine de perdre l'envoi des logs vers Sentinel. En savoir plus

Connecteurs sans code pour les API Azure Functions, via un flux conversationnel dans VS Code, avec génération et déploiement automatisés des artefacts. En savoir plus

Pour Defender Experts, qui combine expertise humaine permanente et intégration native à la plateforme Defender. En savoir plus

Ajouter, modifier, supprimer ou repositionner plusieurs règles en une seule opération, au lieu d'un aller-retour par règle. En savoir plus

Vérification de l'identité des clients par certificat X.509, pour les intégrations B2B et les API internes. En savoir plus

Répartition de charge basée sur le DNS par liaison directe, sans passer par des mappages CNAME intermédiaires. En savoir plus

Extension dynamique de la capacité sans interruption significative, pour les applications qui ne peuvent pas s'arrêter. En savoir plus

Greffer de l'IA sur des workflows déterministes existants, une chaîne de traitement de notes de frais par exemple, sans réécrire les composants de base. En savoir plus

Observabilité native des composants du plan de contrôle via Azure Monitor, sans instrumentation maison. En savoir plus

Diagnostic des incidents réseau dans une seule fenêtre de conversation, avec les données rassemblées et des correctifs suggérés. Extension du cluster, sans modification de sa configuration. En savoir plus

Vérifier la faisabilité d'une montée de version majeure à l'avance, au lieu de la découvrir pendant la fenêtre de maintenance. En savoir plus

PgBouncer 1.25.2 avec correctifs de sécurité, nouvelles API REST, améliorations Azure CLI, et les extensions pgPointCloud, RDKit et plpgsql_check. En savoir plus

Prise en charge des tables Azure, bascule entre plans Analytics et Auxiliary, et disponibilité dans Azure Government et 21Vianet. En savoir plus

Comment Azure Monitor, les SLI, les SLO et le SRE Agent transforment des métriques de ressources en décisions exploitables pour l'astreinte, sur un scénario de panne de tunnel d'achat. En savoir plus

Modèle de coffre unifié pour IaaS, PaaS, AKS, PostgreSQL et stockage, avec politiques cohérentes, immuabilité, suppression réversible et détection de menaces en preview. En savoir plus

Identifier d'où vient la latence : appels en éventail depuis les politiques, retentatives, interactions avec les back-ends. En savoir plus

Intégration de l'IA dans des applications Jakarta EE et Spring sans dépendance à un fournisseur de modèle, avec la possibilité d'apporter le sien. En savoir plus

Sur Windows comme sur Android. Référence RM558853. En savoir plus

READMEs, wikis, journaux, transcriptions et documentation de projet deviennent exploitables pour générer des synthèses et des artefacts. En savoir plus

TLS 1.3, authentification par identité managée pour le lien entre Hub et DPS, et livraison chiffrée des mises à jour dans Device Update for IoT Hub. En savoir plus

Microsoft documente un déploiement réel : un million de documents, plus de 300 agents, plus de 100 000 utilisateurs, avec les choix de sécurité, de gouvernance et de schéma qui vont avec. En savoir plus

Les tenants sans réglage explicite recevront automatiquement une rétention de trois jours. C'est dans six jours. En savoir plus

Migration vers une version plus récente à planifier maintenant. En savoir plus

En savoir plus

Gestion par API, pour les organisations qui doivent maîtriser leur matériel de chiffrement. En savoir plus

En savoir plus

Lecture, mise en page et analyse documentaire en temps réel, sans stockage temporaire côté service. Utile pour les traitements à faible latence et les documents sensibles. En savoir plus

Définir une sémantique d'échec explicite pour chaque appel d'outil à effet de bord, sur l'exemple d'une demande d'achat. C'est ce qui sépare un pilote d'une charge de production. En savoir plus

Réponses plus factuelles et plus ciblées, sans changement d'endpoint ni de comportement pour les applications existantes. En savoir plus

Comparaison des étapes de récupération, de reranking et de fusion de rangs sur quatre services Azure, avec le déplacement du classement de la similarité sémantique vers la pertinence utilisateur. En savoir plus

Le contexte opérationnel est préservé via CloudEvents, avec les identifiants d'appareil et les horodatages conservés pour l'analytique temps réel. En savoir plus

Environ 400 CVE ce mois-ci, et 4 RCE critiques concentrées sur le rôle DNS. Avant de choisir ton ordre de patch, il faut l'inventaire. Cette commande sort les machines connectées à Azure Arc avec leur édition, leur version d'OS et la date de dernier contact :

Ce que la commande retourne :

Note : lecture seule, aucun effet de bord. Ce qui remonte en Windows Server 2012, 2016 ou 2019 dans cette table, c'est le périmètre où le rôle DNS a le plus de chances de cohabiter avec un contrôleur de domaine. Ajoute --subscription pour balayer plusieurs Subscriptions Azure.