mercredi 22 juillet 2026

Digest court

Rien de neuf en 48 h côté Angular, et c'est une information honnête. Le blog officiel n'a rien publié depuis le masterclass hebdomadaire du 17 juillet, et Angular 22.1 reste en pré-version (22.1.0-next.6, 16 juillet) — pas encore de stable. Le seul point qui bouge est un vieux dossier de compatibilité : TypeScript 7.0 est GA, mais un projet Angular 22 ne peut toujours pas l'adopter (@angular/compiler-cli casse au build sur des incompatibilités readConfiguration/DiagnosticCategory, cf. issue #69704). Journée calme : rien à migrer, rien qui presse.

Top 1 — État de l'écosystème

• Angular 22.1 : toujours en next (22.1.0-next.6), pas de release stable à ce jour.
• TypeScript 7 × Angular 22 : incompatibilité connue, l'éditeur reste sur la lignée TS 6.x en attendant une API programmatique stable côté TS.
• Signal Forms / Zoneless / OnPush : production-stable depuis la v22 (3 juin) — rien de neuf mais socle recommandé.

Contexte : à surveiller, la stabilisation de 22.1 et la levée du verrou TypeScript 7, sans urgence pour tes projets actuels.

Digest court

Journée tranquille côté annonces : pas de nouvelle preview, mais deux détails d'ergonomie EF Core qui méritent un vrai cours. Le premier est un garde-fou à activer dès aujourd'hui : le nouvel analyseur EF1004 attrape les requêtes « async » qui s'exécutent en réalité de façon synchrone — la cause classique des deadlocks sous charge. Le second est un gain de boucle : EF Core 11 laisse créer et appliquer une migration en une seule commande (dotnet ef migrations add … --apply), ce qui fluidifie ton cycle dev/CI. Rien qui casse ton code existant, tout ce qui rend le quotidien plus sûr.

Top 2 — EF Core, sécurité et vélocité

• Analyseur EF1004 : signale au build les appels ToAsyncEnumerable() sur un IQueryable<T> qui tournent en synchrone ; corrige avec AsAsyncEnumerable().
• Migrations en une commande : dotnet ef migrations add Add_X --apply crée puis applique le script, sans le double aller-retour add → database update.

Contexte : les deux fonctionnalités remontent au train de previews .NET 11 (LTS prévue le 10 novembre 2026) et sont déjà utilisables via l'outil dotnet-ef préversion.

→ Analyse complète : 2026-07-22_detail.md

Digest court

Pas de nouveau modèle frontière ce matin (Kimi K3 attend ses poids le 27, Inkling déjà couvert), mais une histoire qui redéfinit l'utilité concrète de l'open-weight. Hugging Face a révélé avoir repoussé une cyberattaque entièrement pilotée par un agent IA autonome en s'appuyant sur GLM-5.2 de Z.ai — parce que les modèles commerciaux frontières ont refusé d'analyser les payloads d'attaque, leurs garde-fous ne distinguant pas l'attaquant du défenseur. Leçon technique double : le problème du refus « dual-use » côté blue-team, et l'intérêt d'héberger soi-même un open-weight pour que données sensibles et credentials ne quittent jamais ton infra.

Top 2 — Open-weight, sécurité et souveraineté des données

• Refus dual-use des modèles frontières : les garde-fous bloquent l'analyse de payloads réels, handicapant le défenseur autant que l'attaquant.
• Forensic on-prem avec open-weight : GLM-5.2 (~753 Md, poids ouverts) tourné sur l'infra de Hugging Face — aucune donnée d'attaque exfiltrée vers un fournisseur tiers.

Contexte : l'attaque s'est déroulée le week-end du 11 juillet ; la divulgation et l'analyse sont publiques depuis le 20 juillet 2026.

→ Analyse complète : 2026-07-22_detail.md

Digest court

Deux failles à traiter en priorité, très différentes dans leur nature. Côté serveur, un nouveau RCE SharePoint, CVE-2026-50522 (CVSS 9.8), est exploité activement depuis la publication d'un PoC le 20 juillet : les attaquants volent les machine keys IIS en une seule requête pour forger des tokens et garder un accès persistant — patcher ne suffit pas, il faut faire tourner les secrets. Côté poste de travail, CVE-2026-14266 transforme une archive .xz piégée en exécution de code dans 7-Zip à l'extraction : un vecteur idéal pour le phishing, corrigé en 26.02. Deux rappels : la persistance survit au patch, et l'archive reste une surface d'attaque.

Top 2 — Exploitation active et vecteur archive

• SharePoint CVE-2026-50522 : désérialisation → RCE non authentifiée, vol de machine keys, impact « classe ToolShell », rotation des secrets obligatoire.
• 7-Zip CVE-2026-14266 : heap overflow dans le parsing XZ, RCE à l'ouverture d'une archive forgée ; mettre à jour en 26.02.

Contexte : SharePoint est déjà sous exploitation opportuniste massive ; le bug 7-Zip n'a pas encore de PoC public, mais le patch existe depuis le 25 juin.

→ Analyse complète : 2026-07-22_detail.md