Le récap tech du vendredi 28 août 2026

EmDash, ce CMS dont tu n’avais peut-être jamais entendu parler, s’impose un peu plus chaque jour : cette semaine, c’est le blog de Cloudflare lui-même qui a basculé dessus. De quoi relancer un vieux débat sur la sécurité des plugins WordPress, et — accessoirement — sur la place des gros acteurs dans l’open source. On a aussi eu droit à une grosse piqûre de rappel côté auto-hébergement avec la faille AppFlowy, et à des nouvelles rassurantes pour Linux sur Mac, Flatpak et le chiffrement du cloud.

Cloudflare met son propre blog sur EmDash, son WordPress amélioré

Cloudflare a annoncé avoir transféré son blog officiel sur EmDash, le CMS open source (licence MIT) qu’il a développé en réécrivant de zéro le projet WordPress. L’argument principal est la sécurité des plugins : sous WordPress, un plugin tourne avec accès direct à la base de données et au système de fichiers, ce qui explique que 96 % des failles du écosystème viennent de là. EmDash, lui, fait tourner chaque plugin dans une sandbox isolée, avec des permissions explicites et limitées déclarées à l’installation.

L’interface d’édition d’EmDash, le CMS open source de Cloudflare

Capture — blog Cloudflare, EmDash, 2026

Pour l’utilisateur, ça veut dire quoi ? Un CMS pensé pour tourner sur Cloudflare Workers (le service de calcul à la demande de l’entreprise), mais aussi n’importe où, et qui promet de régler la faille historique de la sécurité WordPress sans repartir de zéro. C’est aussi une belle carte de visite : si le blog de Cloudflare lui-même s’appuie dessus, la crédibilité du projet grimpe d’un cran. Le tout reste en bêta et gratuit à déployer.

AppFlowy : une faille d’injection SQL non corrigée côté auto-hébergé

L’équipe de recherche Project Black a dévoilé une injection SQL dans AppFlowy, l’alternative open source à Notion. La faille, référencée CVE-2026-16007, permet à un utilisateur authentifié d’exécuter des requêtes SQL arbitraires à travers le paramètre search_term d’un endpoint. Autrement dit : exfiltrer, modifier ou supprimer des données sensibles de la base. Le point qui fâche, c’est que l’éditeur a corrigé son offre cloud commerciale, mais n’a répondu à aucune sollicitation sur la version communautaire auto-hébergée, qui partage pourtant une large partie du code.

Démonstration de l’injection SQL dans l’endpoint quick-note d’AppFlowy

Capture — Project Black, analyse de la faille AppFlowy, 2026

Si tu héberges AppFlowy toi-même, c’est le moment de vérifier ta version et tes permissions. L’équipe de recherche recommande d’éviter l’auto-hébergement tant que le correctif open source n’est pas sorti, et rappelle un principe simple : une faille bouchée dans le SaaS ne l’est pas forcément dans la version que tu fais tourner chez toi.

Flatpak reçoit 508 000 € pour renforcer son sandboxing

L’agence technologique souveraine allemande (Sovereign Tech Agency) injecte 508 640 € sur deux ans dans Flatpak, le système d’empaquetage d’applications Linux. Objectif : rapprocher son modèle de sécurité de celui d’Android et d’iOS. Parmi les chantiers : séparer enfin l’accès aux haut-parleurs de celui au micro (aujourd’hui, une app qui joue du son peut souvent aussi écouter), une isolation réseau plus fine (hôte, LAN, internet et ports distincts) et un portail VPN dédié.

Le logo de Flatpak, le système de sandboxing des applications Linux

Illustration — Linuxiac / Flatpak, 2026

Pour l’utilisateur Linux, c’est une bonne nouvelle à moyen terme : des applications mieux isolées, donc moins risquées à installer, sans que tu aies à comprendre quoi que ce soit aux permissions. Un portail de gestion de mots de passe est aussi à l’étude. C’est le genre de financement public qui pérennise une brique d’infrastructure discrète mais essentielle.

Backblaze B2 chiffre désormais tes nouvelles données par défaut

Le stockage cloud Backblaze B2, souvent plébiscité comme alternative à prix doux à S3 d’AWS, passe au chiffrement automatique à partir du 14 septembre 2026. Désormais, chaque nouvel upload et chaque copie seront chiffrés au repos avec AES-256, sans rien changer à ton application, sans surcoût et sans impact sur les performances. Les objets déjà stockés gardent leur état actuel ; il faudra les re-téléverser pour les bénéficier du chiffrement.

Le logo de Backblaze B2, le stockage cloud qui chiffre par défaut

Visuel — blog Backblaze, 2026

Le principe est séduisant : la sécurité ne dépend plus d’une case à cocher ou d’un en-tête que tu peux oublier. Pour qui utilise B2 pour des sauvegardes, c’est une couche de protection de plus, sans friction. Tu gardes la possibilité de fournir ta propre clé (SSE-C), mais le défaut protège désormais ceux qui n’y pensaient pas.

Asahi Linux frôle le support officiel des Mac M3

Le projet Asahi Linux, qui fait tourner Linux sur les puces Apple Silicon, annonce être presque prêt pour un support officiel des Mac M3. Les webcams fonctionnent sur toute la gamme, les micros embarqués aussi (avec un reverse-engineering de l’audio Apple), et le support USB 3.0\/Thunderbolt est au point. Le décodage vidéo matériel (H.264, H.265, VP9, AV1 sur M3 et plus) progresse également. Pour les M4 et M5, le travail est en cours : stockage NVMe, PCIe et multicoeur sont désormais fonctionnels, mais tout le reste reste à faire.

Le logo d’Asahi Linux, qui porte Linux sur les Mac Apple Silicon

Illustration — Linuxiac \/ Asahi Linux, 2026

Concrètement, si tu as un Mac M3 et que tu rêves de le faire tourner sous Linux, la porte s’ouvre. Un point notable : l’équipe aimerait fusionner son pilote de gestion d’énergie dans le noyau Linux officiel, mais bute sur une norme (PSCI) exigée par les mainteneurs ARM64. Un classique du genre : la partie technique est résolue, la partie procédure l’est moins.

Chromium pose les bases d’un support Flatpak officiel

Les développeurs de Chromium ont intégré dans le code source une infrastructure expérimentale pour empaqueter le navigateur en Flatpak. Concrètement, c’est l’ensemble des scripts et métadonnées nécessaires pour construire et tester Chromium dans un environnement Flatpak, avec une option de build enable_flatpak. L’objectif affiché est d’abord le test et l’amélioration de l’intégration avec les portails XDG, pas de fournir une distribution officielle aux utilisateurs dès maintenant.

Le logo de Chromium, qui teste un empaquetage Flatpak

Illustration — Linuxiac \/ Chromium, 2026

C’est un premier pas dans la bonne direction : jusqu’ici, le Chromium Flatpak de Flathub était officieux, construit par la communauté. Un support amont, même expérimental, ouvrirait la porte à une version plus propre et mieux intégrée à l’avenir. À surveiller, sans y voir une sortie imminente.

Artix Linux tourne le dos à XLibre, quelques mois après l’avoir adopté

Artix Linux, la distribution basée sur Arch qui refuse systemd, abandonne XLibre comme serveur X par défaut, quelques mois seulement après l’avoir mis en avant. Les développeurs invoquent des régressions non corrigées et une charge de maintenance trop lourde. La nouvelle accompagne la sortie de nouvelles images d’installation d’août 2026. Artix était l’une des premières distributions à adopter XLibre, un serveur d’affichage alternatif à Xorg pensé pour simplifier la pile graphique Linux.

Le logo d’Artix Linux, qui abandonne le serveur d’affichage XLibre

Illustration — Linuxiac \/ Artix Linux, 2026

Pour l’utilisateur, l’impact est mince tant qu’il met à jour : les ISOs passées à jour utilisent à nouveau Xorg. Mais le retournement illustre la difficulté pour un projet de se reposer sur une base graphique encore jeune. Une leçon de prudence pour qui aime tester les technologies à la mode : en Linux, « par défaut » n’est pas une promesse de pérennité.

Tor Browser teste des titres de fenêtre génériques contre le pistage

La nouvelle version alpha de Tor Browser, la 16.0a10, introduit une option intitulée « titres de fenêtre génériques ». L’idée : empêcher les applications et le système d’exploitation de lire le titre de la fenêtre, qui change à chaque page visitée. C’est un vecteur de pistage discret mais réel, accessible sans permission spéciale. Avec l’option activée, toutes les fenêtres s’appellent simplement « Tor Browser Alpha ». La version corrige aussi les failles de sécurité Firefox incluses, rebasée sur Firefox 153.1.0 ESR.

L’interface de Tor Browser, qui teste des protections contre le pistage par titre de fenêtre

Visuel — blog Tor Project, 2026

L’option reste opt-in et non activée par défaut dans cette version, en attendant les retours. C’est un exemple parlant de la course permanente à la vie privée : même un détail comme le nom d’une fenêtre peut devenir une fuite d’informations. Reste à la version stable de suivre.

À surveiller demain

Les upgrades Ubuntu 24.04 → 26.04 LTS doivent s’ouvrir dans quelques semaines, avec une petite attente à cause de régressions dans rust-coreutils : à suivre. Le support officiel des Mac M3 par Asahi Linux pourrait se concrétiser prochainement. Et côté AppFlowy, la balle est dans le camp de l’éditeur : on guettera un correctif de la version auto-hébergée.