VeilleTech — 2026-09-02

01 SÉCURITÉ Faille

Artifactory : un admin sans mot de passe

The Hacker News1 septembre2 min de lecture

CVE-2026-82329 (CVSS 9.8) contourne l'authentification d'Artifactory et donne les droits d'administrateur sans compte, sur configuration par défaut. Corrigée le 28 août en 7.161.20, elle est activement exploitée depuis le 1er septembre selon watchTowr. Un dépôt binaire compromis, c'est toute la chaîne de build derrière.

CVE-2026-82329, CVSS 9.8 — correctif dans Artifactory 7.161.20, publié le 28/08/2026
Branches vulnérables : 7.161.0→7.161.19, 7.146.0→7.146.36, 7.133.0→7.133.28, 7.125.0→7.125.19, 7.117.0→7.117.27, 7.111.4→7.111.21
Cause : instance sans join key additionnelle → « phantom join key » dans JFrog Access, exploitée pour forger des jetons admin

Votre dépôt d'artefacts est votre chaîne d'approvisionnement.

Lire la fiche Source

02 PHP Discussion

Packagist : treize thèmes Composer piégés

The Hacker News1 septembre2 min de lecture

Socket a identifié 13 thèmes Composer malveillants sur Packagist, répartis sur cinq namespaces. Ils injectent un JavaScript qui redirige les mobiles vers des sites de jeu et, sur iPhone non à jour, déroule une chaîne WebKit → noyau qui vole trousseau, SMS, photos et seeds de wallets crypto.

Paquets : vsmov/theme-dy, theme-rrdyw, theme-motchill, theme-vsmov ; vsphim/theme-heovl, theme-thempho ; haiau009/kkphim-legend, kkphim-motchill ; chilltvcms/theme-legend ; ophimcms/theme-dy, theme-motchill, theme-pcc, theme-rrdyw
CVE-2025-31277 (corrigée iOS 18.6) et CVE-2025-43529 (corrigées 18.7.3 et 26.2) ; échappement noyau corrigé en iOS/macOS 26.1 — cibles réelles : iOS 18.4 à 18.6.x
Balise de suivi vers cloudfareintcdn[.]com/wd-status.html ; wallets ciblés : Bitget, BitKeep, Bitpie, Phantom, Tonkeeper, Trust Wallet, OKX

Un thème Composer, c'est du code chez vos visiteurs.

Lire la fiche Source

03 SÉCURITÉ Faille

Langflow et Rails : exploités en direct

The Hacker News1 septembre2 min de lecture

Deux failles critiques sont exploitées en ce moment : CVE-2026-0768 dans Langflow (RCE Python en root) et CVE-2026-66066 « KindaRails2Shell » dans Rails, via une divergence Active Storage / libvips. VulnCheck signale 360 détections en trois jours et note que le correctif Rails 8.1.3.1 ne ferme pas tout.

CVE-2026-0768 (CVSS 9.8, Langflow, RCE root) et CVE-2026-66066 / KindaRails2Shell (CVSS 9.5, Rails)
50 détections en quelques heures le 30/08, 360 au 01/09 ; variables ciblées : LANGFLOW_SUPERUSER, OPENAI_API*, AWS_ACCESS*, AWS_SECRET*, /root/.cache/langflow/secret_key
Sur un serveur Rails 8.1.3.1 corrigé, VulnCheck a vu la désérialisation Marshal de la variation-key encore exécuter le gadget RCE ; 7 100 instances Rails exposées début août

Le correctif ferme la porte, pas la fenêtre.

Lire la fiche Source

04 IA Discussion

Fable 5.1 : le cache lu à moins 75 %

anthropic.com1 septembre3 min de lecture

Claude Fable 5.1 et Mythos 5.1 sortent : même modèle, garde-fous différents. Les lectures de cache baissent de 75 % (0,25 $/M tokens), soit environ -25 % sur une charge typique et jusqu'à -45 % en agentique. Un changement d'API accompagne la sortie et casse la réécriture de contexte avec thinking préservé.

Cache reads à 0,25 $/M tokens (-75 %) ; input 10 $/M et output 50 $/M inchangés ; identifiant modèle claude-fable-5-1
Terminal-Bench-Science 0.1 : 52,6 % contre 24,7 % pour Fable 5 ; Terminal-Bench 4.0 : 55,8 % (60,9 % pour Mythos 5.1)
Breaking change : les comptes API créés à partir du 01/09/2026 ne peuvent plus éditer le contexte antérieur en préservant le thinking (anti-distillation) ; effort par défaut High dans Claude Code, Medium sur Cowork et claude.ai

La baisse est sur le cache. C'est là que passe l'agent.

Lire la fiche Source

05 RUST Article

pnpm 12 : réécrit en Rust, et sans SSH

heise Developer1 septembre2 min de lecture

pnpm 12 est une réécriture complète en Rust, rétrocompatible sur les commandes. Turborepo mesure 64 à 90 % de gain à l'installation sous Linux face à pnpm 10.28. Deux breaking changes attendent les pipelines : plus d'accès SSH à GitHub, GitLab et Bitbucket, et les clés inconnues de pnpm-workspace.yaml lèvent désormais une erreur.

Gains mesurés par Turborepo (Vercel) sous Linux : 64 à 90 % vs pnpm 10.28 ; Corepack +74 % de vitesse au démarrage à cache plein, -11 % à cache vide
SSH supprimé pour GitHub/GitLab/Bitbucket → `git config --global url."git@github.com:".insteadOf https://github.com/`
Erreur ERR_PNPM_UNRECOGNIZED_WORKSPACE_SETTINGS sur clé inconnue ; `pnpm install --resolution-only` retiré ; packageImportMethod: auto divise par deux l'installation sous btrfs

La vitesse est gratuite. Le SSH, non.

Lire la fiche Source

06 SÉCURITÉ Faille

Une clé API oubliée, 600 000 $ brûlés

The Hacker News1 septembre2 min de lecture

METR détaille deux incidents. En mars 2026, une application « vibe-codée » à authentification fail-open a exposé un tableau de bord d'agents et la clé d'API qu'il contenait ; l'attaquant a consommé l'équivalent de 600 000 $ de crédits en trois semaines. En mai, une campagne de sondage automatisé a suivi.

Faille fail-open : l'authentification se désactivait silencieusement au lieu de refuser — dashboard exposé plusieurs jours
Découverte présumée via les certificate transparency logs, en filtrant les domaines récents à mots-clés LLM/agents
Aucun plafond de dépense sur la clé et une consommation normalement élevée : l'abus est passé inaperçu trois semaines

Une clé sans plafond, c'est un chèque en blanc.

Lire la fiche Source

07 LLM Discussion

104 Go de modèle sur un Mac de 48 Go

GitHub1 septembre2 min de lecture

slotstream est un binaire Swift qui exécute Qwen3.8-Flash-Next (125 Md de paramètres, MoE, 103,8 Go de poids en 4 bits) sur un Mac dont la mémoire ne suffit pas, en streamant les experts depuis le SSD. Environ 12 tok/s sur un M5 Pro de 48 Go, avec 32 Go de pic mémoire, et une API compatible Ollama et OpenAI.

Prérequis : Apple Silicon, macOS 14+, ~110 Go de disque libre (512 Go de disque en pratique) ; poids 103,8 Go sur 24 fichiers vérifiés en SHA-256
Paliers mesurés/simulés via `slotstream doctor --sim-ram N` : 8 Go → ~3 tok/s, 16 Go → ~4, 24 Go → ~8, 32 Go → ~9, 48 Go et plus → ~12 (seule la ligne 48 Go est mesurée)
`slotstream serve` écoute sur le port 11434, contexte plafonné à 32 768 tokens (--max-context) ; prompt de 8 000 tokens ≈ 1 min avant le premier token sur 48 Go

Le modèle ne tient pas en mémoire. Il tourne quand même.

Lire la fiche Source

08 WEB Article

207 kernels WebGPU pour le navigateur

Hugging Face1 septembre2 min de lecture

Hugging Face publie @huggingface/kernels et 207 kernels WebGPU versionnés sur le Hub, chacun livré avec manifeste, tests de correction, benchmarks et shaders WGSL. Face à ONNX Runtime Web sur un M4, les kernels sont 2,57× plus rapides en moyenne géométrique sur 809 cas comparables.

`npm install @huggingface/kernels@preview` puis `getKernel("webgpu-kernels/ai.onnx.Add", { version: 1 })` — 207 dépôts Apache-2.0 sous huggingface.co/webgpu-kernels
Contre ORT Web 1.30.0-dev sur GPU Apple M4, 809 cas retenus sur 1 756 : ×2,57 en moyenne géométrique, ×1,90 à la médiane, 629 victoires / 176 défaites / 4 nuls
Par opération : Add ×3,52 (0,064 ms vs 0,227), Softmax ×2,11, LayerNormalization ×2,22, MatMul ×1,14 — temps GPU seul, hors compilation et transferts

Portable ne veut pas dire rapide. Ça se mesure.

Lire la fiche Source

09 CLOUDFLARE Article

Cloudflare compresse son cache en zstd

Cloudflare1 septembre2 min de lecture

Cloudflare prototype Cache Transcoding : encoder en Zstandard niveau 3 les réponses texte à l'entrée du cache, dans Pingora, et les garder compressées jusqu'au service. Les actifs éligibles tombent à un tiers de leur taille disque, pour quelques pour cent de CPU en plus — soit des pétaoctets de capacité de cache gagnés.

Ratio mesuré 2,834× sur le corpus de test ; encodage 4,31 ns/octet (~232 Mo/s, une fois par remplissage), décodage 1,56 ns/octet (~641 Mo/s, à chaque service)
Répartition du trafic : médias 21,4 % des requêtes / 63,3 % des octets ; texte compressible 67,3 % des requêtes / 22,3 % des octets, dont ~71 % sans Content-Encoding
Politique retenue : zstd niveau 3 sur tout texte éligible ≥ 4 KiB — plus efficace que de réserver la compression au contenu populaire, car le décodage se paie à chaque service

Encoder une fois, décoder mille. Faites le calcul.

Lire la fiche Source

10 MESURE Article

559 CLAUDE.md : 63 % ne sont pas des règles

DEV Community2 septembre2 min de lecture

Un corpus de 559 fichiers de règles d'agents publics montre que 62,9 % de leur contenu n'est pas une directive mais de la documentation, et que 56,5 % des vraies règles ne sont vérifiables par aucun outil. La proportion n'a bougé que de 2,5 points entre 40 et 559 fichiers.

23 704 éléments extraits de 559 fichiers (CLAUDE.md, AGENTS.md, .cursorrules, Copilot, Windsurf, Gemini), dont PyTorch, Kubernetes, Elasticsearch
62,9 % de non-directives ; à 40 fichiers c'était 65,4 %, soit 2,5 points d'écart malgré l'ajout de formats non prévus par le parseur
43,5 % des règles réelles sont vérifiables mécaniquement ; l'outil est `npx rulereceipt check`, et son postmortem de 10 faux positifs est publié

Votre fichier de règles est surtout un README.

Lire la fiche Source

VeilleTech — feed du mercredi 2 septembre