VeilleTech — 2026-09-07

01 SÉCURITÉ Faille

MikroTik : SSH ouvert, admin sans mot de passe

The Hacker News6 septembre2 min de lecture

Le CERT polonais a publié le 5 septembre une alerte sur des routeurs MikroTik pris entièrement par leur service SSH exposé sur Internet, sans authentification. Les premières attaques observées remontent au 2 septembre. MikroTik a publié les versions corrigées, mais la mise à jour seule ne suffit pas si l'appareil a déjà été touché.

Versions corrigées : 6.49.21 sur la branche 6, 7.23.4 sur la branche 7 — préférer 7.23.5, qui corrige une régression DHCPv6 — 7.24.2 sur le canal stable, 7.25beta3 en développement
Indices de compromission cités par le CERT : comptes ops très privilégiés inattendus, et journaux de création de compte contenant `ssh:-2@`
En attendant la mise à jour : couper ou restreindre SSH, WWW/WWW-SSL et bandwidth-test ; après mise à jour, lancer `/system/device-mode/print` et relire les journaux

Un routeur corrigé n'est pas un routeur propre.

Lire la fiche Source

02 SÉCURITÉ Faille

REVSTEALER laisse quatre modules derrière lui

The Hacker News6 septembre3 min de lecture

Elastic Security Labs a documenté le 2 septembre quatre programmes qui accompagnent le voleur d'informations REVSTEALER. Le voleur s'efface après exfiltration ; les quatre modules, eux, persistent dans le profil utilisateur. L'un d'eux désactive Windows Update et Defender avant de lancer un mineur de cryptomonnaie.

Les quatre modules : ProManager (fausse fenêtre sur les wallets Electron), WinUpdate (détournement du presse-papiers), SoftManager (reverse proxy), LockAppHost (mineur)
LockAppHost désactive 5 services Windows Update, 11 tâches planifiées de mise à jour et 2 tâches de suppression de malware, puis cache son mineur dans un `nslookup.exe` ou un `svchost.exe` suspendu
Les règles YARA publiées couvrent le stealer, ProManager, SoftManager et WinUpdate — mais pas LockAppHost, le module de minage

Le voleur s'efface, ses colocataires restent.

Lire la fiche Source

03 FRONT Article

Safari rend un PNG quand vous demandez du WebP

DEV Community7 septembre3 min de lecture

Sur Safari, `canvas.toBlob(cb, 'image/webp')` ne lève pas d'erreur : la spécification HTML impose de retomber sur `image/png` quand le type demandé n'est pas supporté. On livre donc un PNG portant l'extension `.webp`, sans qu'aucun signal ne le dise. Le reste de la chaîne de conversion côté client accumule le même genre de défaillances muettes.

Safari décode le WebP depuis la version 14 mais ne l'encode pas via canvas ; `toBlob` ne renvoie ni erreur ni `null`, seulement un PNG
Détection fiable : comparer `blob.type` au type demandé et lever si les deux diffèrent, avant d'écrire le fichier
Autres pannes silencieuses : `target_size` de libwebp ignoré tant que `pass` vaut 1, et un PNG transparent converti en JPEG ressort noir (mozjpeg jette l'alpha, la spec HTML compose sur du noir)

Une sortie plausible n'est pas une sortie correcte.

Lire la fiche Source

04 LINUX Article

Redémarrer Linux sans repasser par le firmware

DEV Community7 septembre3 min de lecture

`systemctl soft-reboot` relance tout l'espace utilisateur en gardant le noyau en place : ni firmware, ni bootloader, ni initrd. Disponible depuis systemd 254, il couvre le cas fréquent d'une mise à jour de paquets qui n'a pas touché au noyau, et ramène l'interruption à un redémarrage du gestionnaire de services.

`systemctl soft-reboot` isole vers `soft-reboot.target` ; PID 1 se réexécute et enfile une nouvelle transaction de démarrage — disponible depuis systemd 254 (Debian 13 livre 257.x)
Si `/run/nextroot/` existe (répertoire, montage ou lien symbolique), la racine bascule dessus : permutation A/B sans redémarrage matériel
Limites : les réglages sysctl ne sont pas réinitialisés et le noyau ne change pas — après une mise à jour du noyau ou de l'initramfs, il faut `systemctl kexec` ou un redémarrage complet

Trois profondeurs de redémarrage : encore faut-il choisir la bonne.

Lire la fiche Source

05 GO Discussion

Go gagne le SIMD et perd son dernier cgo

Michael Stapelberg6 septembre3 min de lecture

Michael Stapelberg a supprimé en août la dernière dépendance cgo de Debian Code Search en réimplémentant le codec d'entiers TurboPFor en Go pur. Le paquet expérimental `simd/archsimd`, apparu dans Go 1.26, permet d'écrire de l'AVX512 sans assembleur ni bibliothèque C — et le résultat dépasse la version cgo qu'il remplace.

`simd/archsimd` est expérimental : `GOEXPERIMENT=simd` à la compilation, API non stable, amd64 uniquement, vecteurs 128, 256 et 512 bits
Progression mesurée : encodeur Go naïf à 76 % du C, dépassement du C avec SIMD et spécialisation par largeur de bits, puis un facteur 2 supplémentaire avec le popcount positionnel
À armes égales — AVX512 et popcount positionnel portés aussi côté C — Go reste ≈1,4× plus lent, surtout à cause des vérifications de bornes que l'auteur refuse de désactiver

Sept instructions par cycle, sur une machine qui en autorise huit.

Lire la fiche Source

06 OUTILS Discussion

Un paquet Nix qui démarre dans un onglet

Farid Zakaria’s Blog5 septembre3 min de lecture

trynix.dev démarre une machine Linux dans un onglet et y monte n'importe quel chemin du store Nix : 310 083 versions de paquets, sans rien installer. Le montage n'a pas de serveur — une page statique, un noyau Linux compilé en WebAssembly et des caches publics ouverts en CORS suffisent.

Seule condition côté cache : servir `access-control-allow-origin: *` — cache.nixos.org, Cachix et GitHub Pages le font, ce dernier gratuitement, ce qui permet de partager un store path absent des caches publics
Temps jusqu'au shell : 7,5 s pour python3 à la première visite, 1,5 s pour hello en revisite — la VM ne démarre jamais à froid, elle reprend un instantané pris avant le montage du store
Plafonds : la clôture doit tenir dans la mémoire de l'onglet, ≈1,5 Gio, et WebAssembly plafonne à 4 Gio ; console série uniquement, aucun programme graphique

« Ça marche chez moi » est devenu une URL.

Lire la fiche Source

VeilleTech — feed du lundi 7 septembre