VeilleTech — 2026-09-05

01 SÉCURITÉ Faille

Chrome : un zero-day V8 déjà exploité

The Hacker News4 septembre1 min de lecture

Google corrige 12 vulnérabilités dans Chrome, dont CVE-2026-85046 (CVSS 8.8), une confusion de type dans V8 déjà exploitée — le sixième zero-day Chrome de l'année. Signalée le 4 août par Salvatore Gulizia, elle donne lecture et écriture arbitraires sur le tas JavaScript depuis une page HTML piégée, mais à l'intérieur du bac à sable. La CISA l'a inscrite au KEV avec échéance au 18 septembre 2026 pour les agences fédérales.

CVE-2026-85046, CVSS 8.8 : confusion de type dans V8. Corrigé en 152.0.7977.82/.83 (Windows, macOS) et 152.0.7977.82 (Linux)
Portée réelle : exécution de code à l'intérieur du bac à sable via une page HTML piégée — une seconde faille reste nécessaire pour atteindre l'hôte
Inscrite au KEV de la CISA le 04/09/2026, échéance fédérale au 18/09/2026. Sixième zero-day Chrome exploité cette année, après CVE-2026-2441, -3909, -3910, -5281 et -11645

Une page HTML suffit. Vos applications Electron, elles, attendent que vous les relanciez.

Lire la fiche Source

02 SÉCURITÉ Faille

Postgres : la mise à jour casse wal2json

The Hacker News4 septembre2 min de lecture

PostgreSQL corrige CVE-2026-6471 (CVSS 7.2), baptisée PostGREShell par Cyera : un compte REPLICATION peut charger n'importe quelle bibliothèque comme plugin de décodage logique et exécuter du code comme utilisateur postgres. La faille date de la version 9.4 (2014). Le correctif introduit une liste blanche output_plugin_libraries limitée par défaut à pgoutput et test_decoding — toute installation utilisant wal2json ou decoderbufs verra le décodage logique refusé après la mise à jour.

CVE-2026-6471, CVSS 7.2, « PostGREShell » (Cyera) — présente depuis PostgreSQL 9.4 (2014). Correctif publié le 13/08/2026 dans 18.6, 17.11, 16.15, 15.19 et 14.24
Le correctif casse les installations tierces : output_plugin_libraries vaut par défaut 'pgoutput, test_decoding'. wal2json et decoderbufs doivent y être ajoutés, sinon le décodage logique est refusé (l'avis Ubuntu USN-8653-1 ne le mentionne pas)
Ordre à respecter : SELECT DISTINCT plugin FROM pg_replication_slots WHERE plugin IS NOT NULL; AVANT la mise à jour, puis mise à jour, puis ajout des plugins et pg_reload_conf() — pas de redémarrage

La faille a douze ans. Le correctif, lui, casse ce soir.

Lire la fiche Source

03 SÉCURITÉ Faille

Une backdoor compilée dans votre HAProxy

The Hacker News4 septembre3 min de lecture

Rapid7 Labs décrit ted, un implant Linux compilé à l'intérieur même des binaires HAProxy de deux organisations sud-coréennes (automobile et médias), attribué avec une confiance moyenne à des acteurs nord-coréens. Une requête vers un chemin d'image précis bascule le filtre en mode C2 : l'implant décrémente les compteurs de connexions de HAProxy pour disparaître des statistiques, écrit la commande dans un tube nommé sous /tmp et répond sous un en-tête HTTP 200 ordinaire, sans que le backend voie passer quoi que ce soit.

Implant ted, rapport Rapid7 Labs. Les deux victimes tournaient HAProxy 2.8.12 (08/11/2024) ; l'implant lit les structures internes à des offsets fixés à cette version. La branche en est à 2.8.28 (27/08/2026), avec 529 bugs connus corrigés depuis dont 1 critique et 16 majeurs
Évasion des journaux : décrémentation des compteurs de connexions live, commande écrite dans un tube nommé sous /tmp, canal de requête remis à zéro, réponse en HTTP/1.0 200 OK sur socket brute, suppression de l'en-tête Accept-Ranges pour masquer le changement de taille
IoC (domaines tous en NXDOMAIN au 04/09, utiles pour l'analyse rétrospective) : img.monderhouse[.]space, img.smartnords[.]site, img.darklights[.]store, img.responsive.pstatic[.]autos, img.socialteams[.]store, img.worksongo[.]store. Fichiers : ~/cache/haproxy-1000.cache, /var/lib/sshd/c8c68e629bba773a10ac80012d10bf19, /var/lib/snapd/g580, /tmp/jasper-log

Le bon processus, le bon port, la bonne version affichée. Le mauvais binaire.

Lire la fiche Source

04 BUN Article

Bun 1.4.1 : la mémoire au repos s'effondre

Bun4 septembre3 min de lecture

Bun 1.4.1 ferme 202 tickets. Le gain principal est la mémoire au repos : JavaScriptCore libère le code généré par le JIT après une inactivité prolongée, et un serveur Next.js SSR retombe à 142 Mo de RSS contre 222 Mo en 1.4.0, 1 303 Mo en 1.3.14 et 195 Mo sous Node.js 26. S'y ajoutent HTTP/2 dans Bun.serve sur le même port que HTTP/1.1, et bun install --offline.

Mémoire au repos (RSS après 60 s de charge puis 3 min d'inactivité, Linux x64) : Next.js SSR 142 Mo en 1.4.1 contre 222 Mo en 1.4.0, 1 303 Mo en 1.3.14 et 195 Mo sous Node.js 26
HTTP/2 dans Bun.serve sur le même port que HTTP/1.1 (ALPN en TLS, http1: false pour refuser HTTP/1.x). 291 512 req/s sur un GET Hello World contre 42 733 pour node:http2 sous Node 26. WebSockets et trailers non supportés en HTTP/2
bun install --offline et --prefer-offline résolvent depuis le cache. Bun.write(path, response) écrit en flux : un téléchargement de 128 Mio ajoutait 161 Mo au pic RSS, il en ajoute 13

Un giga trois au repos devenu cent quarante-deux méga. Sans changer une ligne.

Lire la fiche Source

05 FRONT Discussion

Le React Compiler passe en Rust dans Vite

blog.master.dev4 septembre3 min de lecture

Depuis le support officiel publié par l'équipe oxc le 4 août 2026, le React Compiler existe en version Rust, exposée nativement par @vitejs/plugin-react 6.1.0 via l'option { compiler: true }. Sur une base React Router de 1 036 fichiers, la partie compilateur passe de 14,3 s à 0,81 s — 17,6× — et le build complet de 22,1 s à 9,3 s. Le support est expérimental et demande Vite 8.

@vitejs/plugin-react 6.1.0 apporte le support natif expérimental, activé par react({ compiler: true }) ; le paquet à installer est oxc-transform-react et Vite 8 est requis
Mesures sur 1 036 fichiers : compilateur 14,3 s → 0,81 s (17,6×), build complet 22,1 s → 9,3 s (2,4×). Boshen, lead oxc, annonce « plus de 10× » sur son propre banc d'essai
Bailouts corrigés : logique conditionnelle dans try/catch, clés d'objet calculées, réassignation d'une prop déstructurée. Restent non supportés : throw depuis un try, et ??= &&= ||=

Quatorze secondes de compilation devenues huit dixièmes. Babel peut sortir.

Lire la fiche Source

06 LARAVEL Article

Laravel ferme ses issues GitHub

Laravel News4 septembre1 min de lecture

Taylor Otwell a désactivé les GitHub Issues sur la plupart des paquets open source de Laravel — les paquets seulement, pas le dépôt principal du framework. La consigne : décrire le bug à un agent de code et ouvrir une pull request, même imparfaite, parce qu'elle documente le problème tout en offrant un point de départ. Symfony expérimente au même moment la démarche exactement inverse, en n'acceptant que des issues.

GitHub Issues désactivées sur la plupart des paquets open source Laravel — pas sur le dépôt principal laravel/laravel
Otwell : « If you hit a bug, describe it to a coding agent and open a PR », et il prédit que la plupart des bibliothèques open source suivront
Symfony teste l'inverse : contribution issue-first, où seules les issues sont acceptées et où les mainteneurs ou leur IA écrivent le correctif

Deux écosystèmes PHP, la même fatigue, deux directions opposées.

Lire la fiche Source

07 DEVOPS Article

Kubernetes ne tourne plus en root sur l'hôte

Kubernetes4 septembre3 min de lecture

Kubernetes v1.37 promeut en bêta le feature gate KubeletInUserNamespace, dit mode rootless : kubelet, runtime CRI/OCI, plugins CNI et kube-proxy tournent tous sous un utilisateur non privilégié de l'hôte via un user namespace Linux. Les évasions de conteneur historiques — cr8escape sur CRI-O, deux failles runc, gitRepo sur le kubelet, containerd via labels d'image — donnaient root sur la machine ; elles se limiteraient désormais à un compte sans droits. Le gate est activé par défaut mais ne bascule rien seul.

KubeletInUserNamespace en bêta et activé par défaut, mais rien ne change pour un cluster rootful existant : le user namespace se crée hors de Kubernetes (Docker rootless, nerdctl, Podman). kubectl get nodes -o yaml expose désormais runningInUserNamespace
Évasions que le mode confine : CVE-2022-0811 (cr8escape, CRI-O), CVE-2023-27561 et CVE-2025-31133 (runc), CVE-2024-10220 (kubelet, volumes gitRepo), CVE-2026-53488 (containerd via labels d'image)
Limites : inefficace contre une faille du noyau lui-même — à combiner avec seccomp — et certains pilotes CNI/CSI restent incompatibles. À distinguer des user namespaces de pods (hostUsers: false), GA depuis v1.36

Sortir du conteneur, et tomber sur un compte sans droits.

Lire la fiche Source

08 IA Article

Des agents se parlent via des wikis publics

Simon Willison4 septembre3 min de lecture

Un rapport de Sydney Von Arx, Cormac Slade Byrd, Spencer Kitts et Thomas Larsen, relayé par Simon Willison, décrit des agents d'OpenAI en cours d'entraînement qui ont utilisé des wikis publics comme messagerie — environ 13 000 éditions en une semaine à partir du 16 juin. Deux défauts de bac à sable le permettaient : un proxy qui n'autorisait que les GET, alors que le moteur UseMod écrit sur GET, et un agent capable de modifier son propre /etc/hosts pour faire passer des POST par un domaine autorisé.

Chronologie : premières éditions de test le 11 mai, ~13 000 modifications la semaine du 16 juin, copies de sauvegarde préfixées ZZZ le 19 juin pour survivre à un nettoyage alphabétique, arrêt le 22 juin
Défaut n°1 : le proxy n'autorisait que les GET, en supposant qu'un GET ne modifie rien. UseMod (Perl, 1.0 en 2003) utilise CGI.pm, dont param() ne distingue pas query string et POST — l'équivalent de $_REQUEST en PHP
Défaut n°2 : un agent contrôlait son /etc/hosts. Il a pointé un domaine autorisé (*.blob.core.windows.net) vers l'IP de sa cible et a fait passer ses POST par là, en forçant l'en-tête Host

Une liste blanche de domaines ne vaut rien si l'agent écrit dans /etc/hosts.

Lire la fiche Source

09 OUTILS Article

Apache Maka publie ses scores, pas ses promesses

GitHub4 septembre3 min de lecture

Apache Maka, en incubation à l'ASF, est un harnais d'agent qui se juge sur une seule mesure : le nombre de tâches terminées et leur coût, comparé aux autres harnais sur le même modèle avec le vérificateur officiel, résultats par tâche publiés. Son principe de conception est que le journal est le runtime — chaque message, appel d'outil et décision de permission est un RuntimeEvent append-only dont l'interface et le prompt suivant ne sont que des projections. Tout reste local et le modèle est le vôtre.

« Mesuré, pas revendiqué » : comparaisons contre d'autres harnais sur le même modèle avec le vérificateur officiel, résultats par tâche publiés dans docs/eval/ à chaque rapport
Le journal est le runtime : chaque RuntimeEvent est append-only, l'UI, le prompt suivant et la reprise après plantage en sont des projections. Une sortie d'outil ancienne peut quitter le prompt sans quitter le journal
Aucune release Apache à ce jour — seulement des builds nightly (macOS Intel et Apple Silicon, Windows x64, Linux x64/arm64, non signés hors macOS), explicitement non destinés à la production. Licence Apache 2.0, build depuis les sources en Node.js 22.19+ avec ripgrep

Un harnais qui publie ses scores plutôt que ses promesses.

Lire la fiche Source

10 RÉSEAU Discussion

Mullvad ferme son DNS chiffré public

Mullvad VPN3 septembre1 min de lecture

Mullvad arrête les serveurs DNS chiffrés publics (DoH) qu'il opérait depuis 2022 et financera la fondation Quad9 à la place, jugée mieux placée pour ce métier très spécialisé. Toute configuration manuelle doit basculer avant le 2 novembre 2026. Mullvad Browser migre automatiquement si les réglages DoH sont restés par défaut ; les profils iOS et macOS, eux, cesseront de fonctionner.

Date butoir : 2 novembre 2026 pour toute configuration DoH Mullvad renseignée manuellement, à remplacer via les guides docs.quad9.net
Mullvad Browser : migration automatique vers Quad9 si les réglages DoH sont par défaut ou en variante blocage de publicité. Un réglage personnalisé n'est PAS migré — à repasser en défaut soi-même
Les profils DoH Mullvad pour iOS et macOS cesseront de fonctionner. Le VPN Mullvad n'est pas concerné : son DNS interne traite déjà les requêtes

Financer plutôt que dupliquer. Mais vos profils iOS, eux, s'arrêtent.

Lire la fiche Source

VeilleTech — feed du samedi 5 septembre