VeilleTech — 2026-09-03

01 SÉCURITÉ Faille

Un .git piégé fait courir vos agents

The Hacker News2 septembre3 min de lecture

Manifold Security a publié huit failles touchant sept agents de code en ligne de commande : la clé Git core.fsmonitor, dont la valeur est une commande, est exécutée dès que l'agent lance git status au démarrage — hors sandbox et avant le dialogue de confiance. Goose et Codex CLI sont corrigés ; quatre chemins restaient ouverts au 1er septembre.

Inspecter .git/config avant d'ouvrir un dépôt reçu : core.fsmonitor, core.hooksPath, attr.tree — puis git config --global core.fsmonitor false
Corrigés : Goose 1.44.0 (CVE-2026-72718, CVSS 7.0), Codex CLI 0.131.0 (CVE-2026-19592), Codex Desktop macOS 26.519.22136 / Windows 26.519.21041
Non corrigés au 01/09 : Hermes Agent 0.18.2 et 0.21.0, Qwen Code 0.19.6 et 0.22.3, Grok Build 0.2.93 et 1.0.13, plus un second chemin dans Claude Code (CVE-2026-55607)

Un dépôt cloné exécute déjà du code. Avant l'agent.

Lire la fiche Source

02 SÉCURITÉ Faille

LiteLLM et Starlette : exploitation confirmée

CISA2 septembre1 min de lecture

CISA a ajouté sept vulnérabilités à son catalogue KEV, sur preuve d'exploitation active. Deux concernent l'outillage courant : LiteLLM (contournement d'authentification, corrigé en 1.84.0) et Starlette, socle de FastAPI (HTTP request smuggling, corrigé en 1.0.1). Quatre des sept produits ont une échéance de remédiation fixée au 5 septembre 2026.

CVE-2026-59822 — BerriAI LiteLLM, authentification impropre, corrigé en 1.84.0 (échéance 16/09/2026)
CVE-2026-48710 — Starlette, HTTP request smuggling, corrigé en 1.0.1, arrive en transitif via FastAPI (échéance 16/09/2026)
Échéance 05/09/2026 : Kestra CVE-2026-49869 (1.0.45 / 1.3.21), JFrog Artifactory CVE-2026-82329, Sangoma Switchvox CVE-2026-9586 (8.4.0.2), SonicWall SMA 1000 CVE-2026-83548 et CVE-2026-83549 (12.4.3-03526 / 12.5.0-02952)

Le catalogue KEV ne liste pas des risques. Il liste des faits.

Lire la fiche Source

03 RÉSEAU Discussion

Un détournement BGP livre un faux update

virtualizor.com3 septembre2 min de lecture

Virtualizor confirme qu'un détournement BGP du préfixe 162.55.80.0/24 a dérouté le trafic de mise à jour de Softaculous vers un serveur pirate, du 28 au 30 août 2026. Les attaquants ont obtenu un certificat Let's Encrypt valide pour virtualizor.com, ce qui a rendu la mise à jour malveillante indiscernable — accès root persistant à la clé.

IOC principal : le service systemd /etc/systemd/system/java-jre-update.service ; script de vérification sur https://files.virtualizor.com/security/virtualizor_security_scan.sh
Préfixe détourné 162.55.80.0/24 (origine légitime AS24940 Hetzner) annoncé par AS62390 NexonHost via AS6204 ; hôte imposteur 162.55.80.8, reverse DNS server.softaculous.com
Fenêtre : 28/08 20:57 UTC → 30/08 06:10 UTC en deux vagues ; ensuite rotation des identifiants API et audit des clés SSH, comptes et cron

Le certificat était valide. C’est bien ça, le problème.

Lire la fiche Source

04 LARAVEL Article

Laravel confine Storage::path au disque

Laravel News2 septembre2 min de lecture

Laravel 13.30 confine Storage::path() à la racine du disque : un chemin contenant des segments « .. » lève désormais PathTraversalDetected au lieu de retourner un chemin hors du disque. La version ajoute aussi Collection::chunkBy() et fait dire à queue:work la raison de son arrêt.

Storage::path('../../../.env') retournait un chemin valide ; en 13.30 il lève PathTraversalDetected (normalisation via WhitespacePathNormalizer)
chunkBy() groupe les éléments adjacents : collect([1, 1, 2, 2, 1, 1])->chunkBy(fn ($v) => $v) donne [[1, 1], [2, 2], [1, 1]] — notation par points acceptée, clés d'origine préservées
queue:work affiche « Worker STOPPED <raison> » sur stdout, ou une entrée JSON avec raison et code de sortie sous --json (rien sous --quiet)

Une mise à jour mineure qui peut casser votre code. Lisez-la.

Lire la fiche Source

05 DEVOPS Article

Kubernetes descend enfin à zéro pod

Kubernetes2 septembre3 min de lecture

Kubernetes v1.37 promeut en bêta, activé par défaut, le scale-to-zero du HorizontalPodAutoscaler : minReplicas peut valoir 0, sans add-on externe. La fonction ne marche qu'avec des métriques Object ou External — CPU et mémoire sont exclus, faute de pod à mesurer.

Feature gate HPAScaleToZero, bêta et activé par défaut en v1.37 ; retour arrière par minReplicas > 0 ou HPAScaleToZero=false
Métriques acceptées : type: External ou type: Object (longueur de file, lag Prometheus via adaptateur). Métriques Resource (CPU/mémoire) et Pod exclues
Pas de mise en tampon des requêtes pendant la remontée : le démarrage à froid est subi par le premier appel — cible les charges pilotées par file, pas un service HTTP

Zéro pod, zéro facture. À condition de savoir attendre.

Lire la fiche Source

06 DUCKDB Article

DuckDB 2.0 gèle : testez-la maintenant

DuckDB2 septembre1 min de lecture

DuckDB a créé la branche v2.0-cyanoptera et publié une alpha (v2.0.0-alpha39998) : le gel des fonctionnalités est en vigueur, la sortie est visée pour la seconde moitié d'octobre 2026. L'équipe demande explicitement des tests sur charges réelles pendant que les régressions sont encore corrigeables.

CLI : curl https://install.duckdb.org | DUCKDB_VERSION=alpha bash, puis ~/.duckdb/cli/latest/duckdb -c "SELECT version()"
Python : pip install duckdb --pre --upgrade
Branche v2.0-cyanoptera, feature freeze depuis le 02/09/2026, sortie prévue seconde moitié d’octobre ; extensions core disponibles : httpfs, ducklake, iceberg, spatial

Un bug trouvé en septembre coûte un ticket. En novembre, une migration.

Lire la fiche Source

07 IA Article

PyTorch 2.14 : Python 3.15, sans compile

PyTorch2 septembre3 min de lecture

PyTorch 2.14 publie des wheels Python 3.15 et 3.15t, mais torch.compile y lève une RuntimeError : le support 3.15 est eager-only. Côté Apple Silicon, l'algèbre linéaire passe en kernels Metal natifs et un nouveau kernel d'attention prefill donne 2 à 4× sur macOS 26.2.

Python 3.15 et 3.15t (free-threaded) supportés en eager seulement — torch.compile lève une RuntimeError ; rester en 3.14 si vous compilez
Wheels 3.15 absents de PyPI : installation depuis download.pytorch.org uniquement (torchvision 0.29.0 suit)
MPS : SVD, eigh, lstsq, geqrf natifs ; Cholesky 1,2–2,8× ; kernel de prefill attention 2–4× via Metal Performance Primitives (macOS 26.2+, head dims 64/96/128/256)

Un support de version qui échoue bruyamment vaut mieux qu’un silence lent.

Lire la fiche Source

08 GO Discussion

Go 1.27 prouve vos fuites de goroutines

go.dev2 septembre3 min de lecture

Go 1.27 ajoute le profil goroutineleak, exposé par runtime/pprof et net/http/pprof. Plutôt qu'une heuristique de durée, il s'appuie sur le ramasse-miettes pour prouver qu'une goroutine attend un canal ou un verrou devenu inatteignable — technique issue d'un article ASPLOS 2025 co-écrit avec Uber.

curl http://localhost:6060/debug/pprof/goroutineleak > leak.prof puis go tool pprof leak.prof
Détecté : blocages sur canaux, select bloquants, et primitives sync (Mutex, RWMutex, WaitGroup, Cond)
Non détecté : goroutines bloquées sur des entrées-sorties fichier ou réseau — elles ne sont jamais comptées comme fuite

Une goroutine oubliée ne crie jamais. Maintenant elle est nommée.

Lire la fiche Source

09 WEB Article

Starlight ouvre son menu sans JavaScript

Astro2 septembre2 min de lecture

Starlight 0.42 remplace le JavaScript de son menu mobile par l'API Popover du navigateur : la navigation reste ouvrable sans JS. Le thème ne distribue plus ses sources TypeScript mais du JavaScript compilé et ses types, ce qui accélère le type-check des projets qui l'utilisent.

Menu mobile bâti sur l’API Popover : fonctionne JavaScript désactivé ou non chargé ; focus trap ajouté en 0.41.3 pour le critère WCAG 2.4.11
Sources publiées en JavaScript compilé + fichiers de types, à la place du TypeScript : type-check plus rapide côté projet
Traitement des données de sidebar jusqu’à 1 400× plus rapide ; mise à jour via npx @astrojs/upgrade

Un menu qui s’ouvre sans JavaScript, c’est un site qui reste lisible.

Lire la fiche Source

10 PHP Article

Réécrire du Blade sans expression régulière

Laravel News2 septembre2 min de lecture

Forte parse les templates Blade en un AST interrogeable en XPath et permet de les réécrire par structure plutôt que par expression régulière. Le paquet fortephp/forte (MIT, v1.1.0) vise les codemods reproductibles sur de grandes bases de vues.

composer require fortephp/forte — PHP 8.2+, extension dom requise, Laravel 10 à 13
Lecture : Forte::parse() / Forte::parseFile(), puis queryElements(), queryBlockDirectives(), queryComponents(), ou xpath('//div[@class]')->get()
Écriture : rewriteWith() avec closure, classes Visitor pour les transformations larges, Builder pour créer des nœuds

Une regex devine la structure. Un AST la connaît.

Lire la fiche Source

VeilleTech — feed du jeudi 3 septembre