VeilleTech — 2026-08-28

01 SÉCURITÉ Faille

GPUThor : le Rowhammer passe l'ECC des RTX

The Hacker News27 août4 min de lecture

Des chercheurs de l'université de Toronto ont mis au point GPUThor, une attaque Rowhammer lancée depuis un noyau CUDA non privilégié, qui provoque assez d'inversions de bits multiples pour défaire l'ECC de quatre cartes RTX Ampere professionnelles. L'escalade jusqu'à root sur l'hôte, d'abord obtenue en 21,9 heures, tombe à 1,1 minute avec des motifs optimisés.

Cartes touchées : RTX A6000 (48 Go), A5000 (24 Go), A4500 (20 Go), A4000 (16 Go), toutes en GDDR6
377 552 inversions de bits par gigaoctet sur A5000, soit 23 597x GPUHammer ; 387 doubles et 2 triples inversions, hors de portée de l'ECC
Aucun CVE, aucune exploitation constatée, code public le 15 novembre 2026 à ACM CCS ; mitigations : ECC système, pas de GPU partagé entre locataires

L'ECC relève la barre ; il ne ferme plus la porte.

Lire la fiche Source

02 IA Discussion

Kiro : un dépôt piégé fait fuiter vos secrets

The Hacker News27 août3 min de lecture

Un fichier de pilotage placé dans un dépôt suffit à détourner l'agent d'Amazon Kiro et à lui faire écrire des données locales sensibles vers un point de sortie externe. Il n'y a ni consigne visible ni contournement du mode « untrusted » : ouvrir le workspace et envoyer un message quelconque suffit.

Démontré sur Kiro 0.7.45 (Windows), corrigé par Amazon en 0.8.140 ; version courante 1.0.337
Vecteur : les « Kiro Powers » — config MCP, steering files, hooks — lus à l'ouverture du workspace, y compris en mode untrusted
Déclencheurs : File → Open Workspace From File, puis n'importe quel message ; divulgation par Fergal Glynn (Mindgard), aucun CVE

Ouvrir un dépôt dans un IDE agentique, c'est exécuter du code.

Lire la fiche Source

03 CLOUDFLARE Discussion

Cloudflare : 100 To de RAM récupérés sur 1.1.1.1

Cloudflare Blog27 août3 min de lecture

Cloudflare détaille cinq changements de représentation mémoire dans le cache DNS de 1.1.1.1, sans toucher aux algorithmes : l'empreinte par entrée passe de 953 à 420 octets. Sur 250 milliards d'entrées, cela libère environ 100 To de RAM et accélère au passage les insertions comme les lectures.

953 → 420 octets par entrée (-56 %) ; allocations 1,1 Ko → 461 octets ; RSS p99 9,3 → 5,3 Go
Insertions 625 000 → 893 000 par seconde (+43 %), latence de lecture 828 → 670 ns (-19 %)
Recettes Rust : Vec<T> → Box<[T]>, offsets u16, Option<Box<Name>>, boxing des grandes variantes, stockage au format wire

Le meilleur profilage commence par la taille d'une structure.

Lire la fiche Source

04 OUTILS Discussion

SourceHut ferme la porte aux LLM le 10 septembre

sourcehut.org27 août3 min de lecture

SourceHut modifie ses conditions d'utilisation au 10 septembre 2026 : le contenu écrit avec un LLM et les logiciels qui facilitent l'usage des LLM ne sont plus acceptés sur la forge. Les projets existants ne sont pas sanctionnés rétroactivement, mais doivent se mettre en conformité.

Annonce du 27 août 2026, entrée en vigueur le 10 septembre 2026
Interdits : contenu produit avec un LLM, et logiciels facilitant l'usage des LLM (clients d'API, assistants, intégrations MCP)
Exceptions : miroirs de projets amont majeurs et usage privé pour relire du code ; portes de sortie citées : Forgejo, GitHub, auto-hébergement

Une forge vient de décider ce qu'elle refuse d'héberger.

Lire la fiche Source

05 PHP Article

PHP 8.6 : Duration, enfin des durées précises

blog.shevarezo.fr26 août2 min de lecture

PHP 8.6 ajoute Time\Duration, une classe finale et readonly pour représenter une durée à la nanoseconde près. Elle comble un trou laissé par DateInterval, taillé pour le calendrier et malhabile dès qu'il faut compter juste sur un délai de quelques millisecondes.

Fabriques : fromSeconds(int $s, int $ns = 0), fromMilliseconds, fromMicroseconds, fromNanoseconds, fromMinutes, fromHours, fromIso8601DurationString
Propriétés readonly $seconds, $nanoseconds (0 à 999 999 999), $negative ; arithmétique add(), sub(), multiplyBy(), divideBy(), negate(), absolute()
Comparaison par opérateurs et Duration::compare() ; DateInterval reste la bonne classe pour les mois et les années

Une durée qui porte son unité, c'est un bug de moins.

Lire la fiche Source

06 IA Article

PyTorch : un checkpoint FSDP de 522 s à 9 s

Databricks28 août3 min de lecture

Databricks chiffre ce que coûte une reprise d'entraînement : au rythme d'interruptions de Llama 3, des checkpoints espacés de deux heures ne laissent que 64 % du temps GPU au calcul utile, contre 91 % à trente minutes. La condition pour resserrer l'intervalle est un checkpoint rapide, et c'est le checkpoint distribué de PyTorch qui le permet.

Goodput calculé au rythme d'interruption de Llama 3 (~8,6 par jour) : 64 % en sauvegardant toutes les 2 h, 91 % toutes les 30 min
Distributed Checkpoint (chaque rang écrit son shard en parallèle) : FSDP 20 Md de paramètres sur 32 H100, 522 s → 9 s ; DDP 2,8 Md, 66 s → 36 s
Sauvegarde asynchrone (staging mémoire puis upload recouvert par le calcul) ; le chargement de données UCVolume, lui, reste propre à Databricks

Un entraînement ne se juge pas au débit, mais au travail conservé.

Lire la fiche Source

07 VERCEL Article

Vercel : le workflow durable écrit en TypeScript

Vercel27 août3 min de lecture

Vercel publie le Workflow SDK : deux directives, "use workflow" et "use step", suffisent à transformer une fonction TypeScript en exécution durable, reprise étape par étape après un crash. Le graphe n'est plus dessiné, il est déduit du flux de contrôle du langage.

API : directives "use workflow" et "use step", plus createWebhook() et createHook<T>() pour les signaux entrants
Erreurs : relance par défaut, FatalError pour arrêter, RetryableError pour piloter le backoff ; chaque run reste épinglé à son déploiement
Workflow v5 en bêta : npm install workflow@beta, client sous licence Apache, sur Postgres, Redis, Kafka ou Vercel Queues

Le meilleur DAG, c'est celui que vous n'avez pas dessiné.

Lire la fiche Source

08 SÉCURITÉ Faille

PCI DSS : vos scripts de paiement sont audités

Qualys27 août3 min de lecture

Les 51 exigences autrefois « bonnes pratiques » de PCI DSS 4.0 sont pleinement notées depuis le 31 mars 2025, et l'évaluation 2026 les couvre sans transition. Deux d'entre elles tombent directement sur les développeurs web : l'inventaire justifié des scripts de la page de paiement, et la détection de leurs modifications.

6.4.3 : inventaire justifié de chaque script de la page de paiement ; 11.6.1 : détection des modifications non autorisées sur ces pages
6.3.2 : inventaire des logiciels sur mesure et des API ; 11.3.1.2 : scan de vulnérabilités authentifié obligatoire
E-skimming : près de 11 000 domaines marchands infectés et 269 millions d'enregistrements de cartes diffusés (Recorded Future)

Un script de trop sur la page de paiement, et c'est le client qui paie.

Lire la fiche Source

09 WEB Article

Détacher un widget de l'onglet avec le PiP

CSS-Tricks27 août2 min de lecture

L'API Document Picture-in-Picture détache un document HTML entier dans une fenêtre flottante, pas seulement une vidéo. Utile pour un minuteur ou un tableau de bord — à condition de recopier soi-même les styles, car la fenêtre n'hérite de rien.

documentPictureInPicture.requestWindow({ width, height, preferInitialWindowPlacement, disallowReturnToOpener })
Les feuilles de style ne suivent pas : il faut les cloner dans le document détaché ; ciblage par @media (display-mode: picture-in-picture)
Support : Chrome et Firefox 151+, pas Safari, desktop uniquement

Une fenêtre flottante, oui — mais elle arrive sans vos styles.

Lire la fiche Source

10 LINUX Article

zram et oomd : un petit VPS qui ne rame plus

DEV Community28 août3 min de lecture

Sur un VPS de 1 à 8 Go, la saturation mémoire se traduit par un thrashing qui rend la machine injoignable avant tout OOM kill. Un swap compressé en RAM (zram) et une décision d'éviction pilotée par la pression (systemd-oomd) évitent les deux, avec quatre fichiers de configuration.

/etc/systemd/zram-generator.conf : zram-size = min(ram / 2, 8192), compression-algorithm = zstd, swap-priority = 100, options = discard
/etc/sysctl.d/99-vm-zram-parameters.conf : vm.swappiness = 180, vm.page-cluster = 0, vm.watermark_boost_factor = 0, vm.watermark_scale_factor = 125
systemd-oomd : ManagedOOMSwap=kill sur -.slice, pression mémoire à 40 % sur user.slice et 60 % sur system.slice ; vérification par zramctl et oomctl dump

Le swap n'est pas de la RAM d'urgence, c'est un réglage.

Lire la fiche Source

VeilleTech — feed du vendredi 28 août