dimanche 2 août 2026

Digest court

Journée blanche côté Angular. Le flux officiel blog.angular.dev n'a rien publié depuis l'Angular Weekly du 17 juillet, et aucune version 22.x n'est sortie dans les 48 dernières heures. Le cycle reste sur la ligne fixée par la 22.1.0 couverte le 1er août : linkedSignal avec setter, migration @Injectable → @Service, Rolldown stable. Rien de neuf ne justifie une analyse détaillée aujourd'hui — pas de fichier _detail.md pour cette catégorie. Le seul mouvement notable touche la chaîne d'outils en amont : TypeScript 7, requis à terme par l'écosystème, continue de se diffuser dans VS Code et Visual Studio.

Top 1 — État de l'écosystème (rien de neuf en 48 h)

• Aucune release Angular : pas de 22.2, pas de RC, pas de patch de sécurité publié depuis le 1er août.
• Blog officiel silencieux : dernier billet daté du 17 juillet 2026 (Angular Weekly), aucun nouveau contenu au flux RSS.
• Angular 22 stable : Signal Forms, Resource API et zoneless restent la base ; OnPush par défaut, TypeScript 6 minimum.

Top 2 — À surveiller

• TypeScript 7 : le compilateur réécrit en Go est désormais grand public ; l'alignement Angular sur cette version est le prochain jalon de compatibilité à guetter.
• Webpack déprécié en v22 : @angular-devkit/build-angular et @ngtools/webpack sont en fin de vie — planifie la bascule Rolldown si ce n'est pas fait.
• Vitest en mode navigateur complet : la piste de test la plus discutée par la communauté ces deux semaines, à évaluer si tes tests de composants restent en JSDOM.

Digest court

Pas de nouvelle preview .NET ce week-end : le cycle reste sur .NET 11 Preview 6 (14 juillet) et Preview 7 n'a toujours pas d'annonce publique. L'actualité s'est déplacée sur l'outillage. Microsoft a livré le 28 juillet la mise à jour de juillet de Visual Studio 2026, avec deux changements structurants pour un dev .NET : un nouvel Agent (Preview) dans Copilot Chat bâti sur le GitHub Copilot SDK — le même moteur que Copilot CLI — et des Agent Skills livrés d'usine par les équipes .NET et Azure, désactivés par défaut. C'est la première fois que Microsoft embarque son propre corpus de savoir-faire ASP.NET Core et perf .NET directement dans l'IDE, sous une forme lisible et auditable.

Top 1 — Visual Studio 2026, mise à jour de juillet

• Agent (Preview) : nouvel agent dans Copilot Chat, sélectionnable via le picker d'agent, pensé pour boucler une tâche avec moins d'allers-retours.
• GitHub Copilot SDK : le runtime derrière l'agent est celui de Copilot CLI, piloté en JSON-RPC ; SDK dispo en .NET, TypeScript, Python, Go, Java et Rust.
• Continuité inter-surfaces : tu peux commencer dans Copilot CLI ou VS Code et reprendre la même tâche dans Visual Studio.

Top 2 — Agent Skills .NET et Azure intégrés

• dotnet-webapi : guide la création et la modification d'endpoints HTTP ASP.NET Core (sémantique HTTP, métadonnées OpenAPI, gestion d'erreurs).
• analyzing-dotnet-performance : scanne le code pour ~50 anti-patterns (async, mémoire, strings, collections, LINQ, regex, sérialisation, I/O).
• Désactivées par défaut : chaque skill doit être relue puis activée à la main dans le tool picker Copilot, catégorie « Built-in ».
• Dépôt ouvert : dotnet/skills contient bien plus que les deux skills embarquées — accès données, diagnostics, MSBuild, NuGet, migrations, MAUI, tests, Blazor.

Top 3 — Rappels du cycle en cours

• .NET 11 Preview 6 reste la dernière preview annoncée publiquement ; GA visée pour novembre 2026.
• C# 15 : le modèle « requires-unsafe », l'opt-in assembly aux règles mémoire et le mot-clé contextuel safe arrivent dans une preview ultérieure.

→ Analyse complète : 2026-08-02_detail.md

Digest court

Deux signaux forts, très différents. Côté recherche appliquée, LightOn publie LateOn-regularized et explique pourquoi les méthodes ANN modernes (MUVERA, SMVE) s'effondraient sur les ColBERT récents : l'espace d'embedding est devenu un cône étroit, et les projections aléatoires n'y séparent plus rien. Le correctif — une régularisation par Straight-Through Estimator — produit un résultat contre-intuitif : moins de dimensions effectives, pas plus. Côté capacités offensives, des agents pilotés par Kimi K3, un modèle à poids ouverts, ont produit des chaînes RCE authentifiées contre Redis ; Redis a livré sept releases de sécurité le 23 juillet. Le fil rouge : l'open-weight n'est plus seulement un sujet de coût, c'est un sujet de vitesse — de découverte comme d'exploitation.

Top 1 — LateOn-regularized : réparer la géométrie plutôt que l'index

• Le diagnostic : les ColBERT récents ont une similarité cosinus moyenne inter-tokens de ~0,95 (contre 0,24 pour ColBERT-v2) — tout tient dans un cône.
• Le correctif partiel : le mean-centering fait passer MUVERA de 2,89 à 32,66 NDCG@10 sans rerank. Utile, insuffisant.
• Le vrai correctif : entraîner avec un STE qui rétropropage à travers la discrétisation MUVERA/SMVE → 40,80 sans rerank, sans dégrader PLAID.
• La surprise : le rang stable baisse de 21 à 26 %. La régularisation concentre l'information, elle ne l'étale pas.

Top 2 — Kimi K3 en chasseur de zero-days : Redis sort sept correctifs

• Sept releases le 23 juillet : Redis 6.2.23, 7.2.15, 7.4.10, 8.2.8, 8.4.5, 8.6.5, 8.8.1.
• Deux classes de bug : un use-after-free « shared-NACK » dans Streams, et une écriture hors-bornes dans le loader TDigest de RedisBloom.
• Vecteur commun : RESTORE — révoquer cette commande coupe les deux chaînes publiées.
• Aucun nouveau CVE : ni les notes de version Redis ni le NVD n'ont d'enregistrement pour ces deux bugs de juillet.
• Les chiffres restent auto-déclarés : « 19 zero-days en 90 minutes » vient d'un post X, pas d'une validation indépendante.

→ Analyse complète : 2026-08-02_detail.md

Digest court

Trois dossiers à traiter, dans cet ordre de priorité. Rails CVE-2026-66066 (CVSS 9,5) permet à un upload d'image de faire lire n'importe quel fichier accessible au worker Rails — donc le master.key, donc tous tes secrets. Le correctif ne suffit pas : il faut tourner les secrets. CVE-2026-16812 sur Arista VeloCloud Orchestrator on-prem est un CVSS 10,0 déjà exploité, au KEV depuis le 27 juillet, avec des IP d'attaque publiées. Enfin, le serveur MCP Azure DevOps de Microsoft laisse un commentaire HTML invisible dans une description de PR détourner l'agent de revue du relecteur — un guardrail existant, mais oublié sur un chemin. Pas de CVE, pas de correctif.

Top 1 — Failles à traiter aujourd'hui

• CVE-2026-66066 (Ruby on Rails, 9,5) : Active Storage passait les uploads à libvips sans bloquer les opérations dangereuses → lecture de fichier arbitraire, RCE possible. Corrigé en 7.2.3.2 / 8.0.5.1 / 8.1.3.1.
• CVE-2026-16812 (Arista VeloCloud Orchestrator, 10,0) : injection de commande OS, exploitée activement, au catalogue KEV de la CISA, échéance fédérale dépassée le 30 juillet.
• CVE-2026-16723 (Fastjson 1.x, 9,0) : RCE sans interaction, toujours sans correctif ; activer SafeMode ou migrer si tu es en 1.2.68 → 1.2.83.

Top 2 — Sécurité des agents de dev

• Serveur MCP Azure DevOps : repo_get_pull_request_by_id ne passe pas par le helper createExternalContentResponse, contrairement aux outils wiki et logs de build.
• Le payload est invisible : un commentaire HTML <!-- ... --> dans une description de PR ne s'affiche pas dans l'UI mais revient verbatim par l'API REST.
• Escalade par confused deputy : l'agent porte les droits du relecteur, souvent plus large que ceux de l'auteur de la PR.
• Aucun CVE, aucune release corrective à la date de publication ; Microsoft parle d'une « classe de risque IA connue ».

Top 3 — À surveiller

• Bit2Watt (CHES 2026) : un tenant cloud peut moduler la consommation GPU pour perturber le réseau électrique, sans exploit ni faille produit. Rien à patcher — c'est l'architecture.

→ Analyse complète : 2026-08-02_detail.md