VeilleTech — 2026-08-26

01 SÉCURITÉ Faille

Next.js : deux exécutions de code à distance

Vercel25 août2 min de lecture

La mise à jour de sécurité Next.js d'août 2026 corrige deux exécutions de code à distance non authentifiées : l'une via une image AVIF traitée par l'optimisation d'images, héritée de la dépendance libheif, l'autre sur les serveurs Windows utilisant le routeur Pages ou le routeur App sans Cache Components. Les applications hébergées sur Vercel sont protégées sans action ; les installations auto-hébergées doivent mettre à jour.

AVIF : une image forgée déclenche l'exécution de code via libheif, sans authentification
CVE-2026-75604 : RCE sur les serveurs Windows en routeur Pages, ou App sans Cache Components
Correctifs 15.5.24 et 16.3.3 — l'AVIF n'y est plus optimisé, il est servi tel quel

Auto-hébergé, c'est votre tour : personne ne patchera à votre place.

Lire la fiche Source

02 SÉCURITÉ Faille

Gitea : la faille diffpatch est exploitée

CISA25 août2 min de lecture

CVE-2026-60004 entre au catalogue KEV de la CISA sur preuve d'exploitation active. Le point d'entrée diffpatch de Gitea permet d'installer un hook Git exécutable en soumettant deux fois le même patch, et d'exécuter des commandes shell sous le compte de service. Toutes les versions de 1.17 à 1.27.0 sont concernées.

Un patch soumis deux fois écrit hooks/post-index-change, que Git exécute en écrivant l'index
Un accès en écriture suffit — et l'inscription ouverte par défaut le donne à n'importe qui
Correctif en 1.27.1 ; la CISA fixait au 28 août l'échéance de remédiation fédérale

Une forge auto-hébergée, c'est aussi un serveur à patcher.

Lire la fiche Source

03 DOCKER Article

Minimus ferme : vos images gèlent le 22 octobre

Docker26 août2 min de lecture

Minimus, éditeur d'images de conteneurs durcies, cesse ses activités : son registre ferme le 22 octobre 2026 après 60 jours de maintenance. Les images déjà tirées continueront de tourner, mais ne recevront plus aucun correctif. Docker publie un guide de migration vers son catalogue Hardened Images et offre une assistance gratuite aux clients concernés.

Registre hors ligne le 22 octobre 2026 ; plus aucune mise à jour de sécurité après cette date
Rien ne casse visiblement : les images tirées tournent, elles cessent seulement d'être corrigées
Le catalogue Docker Hardened Images est sous Apache 2.0, sans plafond d'utilisateurs

Une image durcie qui n'est plus mise à jour n'est plus durcie.

Lire la fiche Source

04 PYTHON Discussion

EVE Online quitte Python 2, seize ans après

Fenris Creations25 août3 min de lecture

EVE Online, lancé en 2003 sur Stackless Python et figé sur la version 2.7 depuis 2010, commence sa migration vers Python 3. Les premiers changements sont déployés en production. L'argument principal n'est pas la performance mais l'écosystème : outillage, bibliothèques et profileurs ont quitté Python 2 depuis longtemps.

Seize ans sur la même version : dernier changement en 2010, fin de vie de Python 2.7 en 2020
Le coût réel de rester : maintenir soi-même ce que l'écosystème ne fournit plus
Le moteur Carbon tourne déjà sur Python 3 dans EVE Frontier, douze versions mineures d'un coup

La dette technique ne fait pas de bruit — elle fait juste grossir la facture.

Lire la fiche Source

05 IA Article

Évaluer un LLM avant la prod, comme un test

GitHub Blog25 août3 min de lecture

GitHub détaille la méthode d'évaluation employée pour brancher un LLM sur son scanner de secrets. Trois idées structurent le propos : hiérarchiser les métriques au lieu de les traiter à égalité, relancer l'évaluation hors ligne comme un test d'intégration à chaque changement, et garder le jeu d'évaluation aussi désordonné que la production.

Trois niveaux : résultat principal, contrainte de sûreté, garde-fous opérationnels
Une variable majeure à la fois, prompts versionnés, runs tracés avec modèle et jeu de données
Un jeu d'évaluation trop propre supprime les cas qui font réellement échouer le système

Un banc d'essai réussi ne dit rien de la production.

Lire la fiche Source

06 IA Article

Exécuter le code d'un agent sans tout lui ouvrir

Vercel25 août3 min de lecture

Vercel publie le Run SDK, un paquet qui exécute du JavaScript ou du TypeScript non fiable dans un contexte QuickJS isolé, sans accès à Node ni au réseau. L'application n'expose que des fonctions hôtes choisies, et l'exécution peut s'interrompre pour une authentification ou une validation humaine avant de reprendre où elle en était.

QuickJS dans un worker : pas d'accès direct à Node, au réseau, ni aux secrets de l'application
Les hostFunctions exposent des actions du produit, pas une fonction de requête générique
Interruption puis reprise sans rejouer le travail déjà fait — pour l'auth et la validation humaine

Un agent qui écrit du code a besoin d'un endroit où le faire tourner.

Lire la fiche Source

07 LLM Discussion

Quatre GPU, et le goulot était dans le BIOS

Lobste.rs (IA)25 août4 min de lecture

Deuxième volet d'un montage de serveur d'inférence maison à quatre GPU AMD. L'auteur y traque la lenteur du multi-GPU sous llama.cpp et découvre que les transferts directs entre cartes ne fonctionnaient pas du tout : tout passait par le processeur. Deux réglages, un dans le BIOS et un dans le noyau, multiplient les débits.

rocm-bandwidth-test révèle l'absence de transferts directs entre cartes, invisible autrement
Correctifs : base MMIO haute abaissée (adressage 44 bits) et iommu=pt au démarrage du noyau
Tensor parallel : 20 → 47 tokens/s sur deux cartes, 0,5 → 37 sur quatre

Avant d'accuser le modèle, mesurez ce qui circule entre vos cartes.

Lire la fiche Source

08 OUTILS Discussion

Un commit, une pull request, empilées

GitHub25 août3 min de lecture

maiao ajoute une commande git review qui transforme chaque commit d'une branche en pull request distincte, empilée sur la précédente. Le suivi repose sur les Change-Id de Gerrit, stables à travers les rebases, ce qui permet à l'outil de rebaser la pile automatiquement à chaque fusion.

Une PR par commit, chacune ciblant la précédente : relecture granulaire, historique propre
Le Change-Id survit aux rebases et donne un nom de branche distante déterministe
Fork communautaire jeune ; piles natives sur GitHub et GitLab, dégradées ailleurs

Une pull request de mille lignes n'est pas relue, elle est approuvée.

Lire la fiche Source

09 VERCEL Article

Vos jetons n'expirent jamais, c'est le problème

Vercel25 août3 min de lecture

Vercel Connect passe en disponibilité générale avec plus de cent connecteurs. Le principe : l'application ne stocke aucun identifiant de fournisseur et demande à l'exécution un jeton de courte durée, limité à la tâche, en prouvant son identité par l'OIDC du déploiement. La révocation devient une commande au lieu d'une rotation suivie d'un redéploiement.

Un coffre-fort protège du vol, pas des conséquences : un jeton permanent volé reste tout-puissant
Jeton demandé à l'exécution, portée par tâche, identité prouvée par l'OIDC du déploiement
La granularité réelle dépend du fournisseur — GitHub descend au dépôt unique en lecture seule

Le meilleur secret est celui que votre application ne détient pas.

Lire la fiche Source

10 DEVOPS Discussion

OpenBSD sur DigitalOcean pour 4 dollars par mois

nil.wallyjones.com25 août2 min de lecture

DigitalOcean ne propose pas OpenBSD dans son catalogue, mais accepte les images personnalisées. En envoyant l'image miniroot d'OpenBSD 7.9 comme instantané, on démarre l'installateur depuis la console web et on obtient un serveur à 4 dollars par mois, servi par httpd et acme-client, tous deux fournis avec le système.

L'image miniroot envoyée en instantané permet de lancer l'installateur OpenBSD depuis la console web
httpd(8) et acme-client(1) sont dans le système de base : aucun paquet supplémentaire
4,24 dollars par mois taxes comprises — en échange des mises à jour et sauvegardes à votre charge

Le web fait maison coûte quatre dollars et un peu d'attention.

Lire la fiche Source

VeilleTech — feed du mercredi 26 août