Cinq bordereaux du 6 octobre : le numéro haut n'est que sur trois

Cinq bordereaux portent la même date, 2026-10-06. Trois d'entre eux ont deux tampons de sécurité. Deux n'en ont qu'un. Le tampon haut, CVE-2026-96890, est sur 3.22.2, 3.21.7 et 3.20.9. Il n'est pas sur 3.19.13 ni sur 3.18.16. Le tampon moyen, CVE-2026-103620, est sur les cinq. La préposition n'est pas la même : le haut a été signalé through le programme de primes, le moyen via le programme. Tu peux ranger les cinq sous « la mise à jour du 6 octobre ». Tu ne peux pas ranger le numéro haut sur les cinq feuilles.

Les cinq titres disent Release date: 2026-10-06. 3.22.2, 3.21.7, 3.20.9, 3.19.13, 3.18.16. Les trois premières ont une section Features avant la sécurité. La puce est la même : l'administrateur peut régler le service de sauvegarde pour des instantanés Elasticsearch natifs et incrémentaux, vers Azure Blob, Amazon S3 ou Google Cloud Storage, isolés par version de correctif. 3.19.13 et 3.18.16 n'ont pas cette section. Elles ouvrent sur Security fixes.

Through sur trois feuilles, via sur les cinq

La puce HIGH de 3.22.2, 3.21.7 et 3.20.9. Un attaquant peut faire envoyer à l'instance des requêtes vers des adresses internes qu'il choisit, en committant des identifiants de compte de service GCP dont le point de jeton désigne une destination interne. Le contrôle de validité du secret scanning émet la requête sans assez la valider. Cette falsification de requête côté serveur could potentially lead to remote code execution sur l'appliance. Il faut un droit de push sur un dépôt d'une instance où GitHub Advanced Security et les contrôles de validité sont activés. La phrase finale : GitHub has requested CVE ID CVE-2026-96890 for this vulnerability, which was reported through the GitHub Bug Bounty program. Through. Et « requested » : la note demande un numéro, elle ne dit pas qu'il est déjà inscrit au catalogue.

La puce MEDIUM, sur les cinq notes, y compris 3.19.13 et 3.18.16. Un collaborateur avec droit d'écriture peut, via l'API GraphQL, supprimer la branche par défaut courante et faire d'une branche qu'il contrôle la nouvelle branche par défaut. Dans un dépôt qui exige une revue de pull request mais ne restreint pas la suppression de branche, ça contourne la revue, et les clones frais comme les requêtes sur la branche par défaut servent son contenu. GitHub has requested CVE ID CVE-2026-103620, which was reported via the GitHub Bug Bounty program. Via. La même formule, l'autre préposition. Je ne les aligne pas.

3.19.13 et 3.18.16 s'arrêtent à cette puce moyenne. Elles ne nomment pas le 96890. Je ne traduis pas l'absence par « cette ligne n'est pas concernée ». La note ne le dit pas. Elle dit ce qu'elle corrige. Le haut n'y est pas.

Le 15 octobre est sur les cinq, le 22 octobre ne se range pas au même endroit

Les cinq notes ont un erratum. La phrase : les problèmes connus indiquaient à tort que les index Elasticsearch sont réindexés par une tâche nightly après une restauration de données sauvées depuis la 3.13 ou plus tard. La tâche tourne le first Saturday of each month. Tampon Updated: 2026-10-15. Cinq fois. La puce Known issues correspondante, sur les cinq, dit déjà le samedi, pas la nuit. L'erratum corrige une phrase que la puce actuelle ne dit plus.

Un second tampon du 22 octobre n'est un erratum que sur 3.22.2. La phrase : les problèmes connus indiquaient à tort que cette sortie ne restaure pas le répertoire de stockage quand on restaure avec ghe-restore alors que Replication Controller est activé. This issue was fixed in GitHub Enterprise Server 3.22.1. Updated: 2026-10-22. Je n'ai pas rouvert la note 3.22.1 pour vérifier le correctif autrement que par cette phrase.

Sur 3.21.7, le 22 octobre n'est pas dans Errata. Il est dans une puce Known issues. La phrase n'est pas celle de la 3.22.2. Elle parle de GitHub Enterprise Server Backup Utilities, d'une restauration vers une instance autonome configurée, et elle dit que Replication Controller is the default in GitHub Enterprise Server 3.21. Le message cité : Warning: no routes found, skipping storage restore .... Les restaurations avec Backup Service sur 3.21.6 or later ne sont pas concernées. Tampon Updated: 2026-10-22, en bout de puce.

Sur 3.20.9, encore une puce Known issues, pas l'erratum. Replication Controller is disabled by default in GitHub Enterprise Server 3.20. Le même avertissement. Le même 22 octobre. Pas la même phrase sur le défaut : activé par défaut sur la note 3.21, désactivé par défaut sur la note 3.20. 3.19.13 et 3.18.16 ont l'erratum du 15 octobre, et je n'y ai pas vu de tampon 22 octobre.

La puce des clés s'allonge d'une note à l'autre

Trois bordereaux ont une puce sur des contrôles de validité qui échouent. 3.20.9 : clés Yandex Cloud inactives, ou clés Anthropic d'organisations désactivées. 3.21.7 reprend les deux, et ajoute les clés Unkey actives avec des permissions insuffisantes. 3.22.2 reprend les trois, et ajoute les clés Mistral dont les comptes exigeaient un paiement. La virgule et le or ne tombent pas au même endroit. 3.19.13 et 3.18.16 n'ont pas cette puce. Je ne la leur reconstitue pas.

✍️ À toi : le bordereau que tu as eu en main, 3.22.2, 3.21.7, 3.20.9, 3.19.13 ou 3.18.16, et les numéros qui y étaient. Le 6 octobre est sur les cinq. Le 96890 n'est que sur les trois premières. Le 22 octobre n'est un erratum que sur la 3.22.2.

Cinq notes datées du 6 octobre 2026. Deux CVE demandés, pas déclarés attribués. Le haut, through, sur trois feuilles. Le moyen, via, sur les cinq. L'instantané Elasticsearch seulement là où le haut est imprimé. L'erratum du 15 octobre partout. Celui du 22 octobre seulement sur la 3.22.2, pendant que 3.21.7 et 3.20.9 collent la même date sur deux phrases qui ne disent pas si Replication Controller est allumé par défaut.