VeilleTech — 2026-09-08

01 SÉCURITÉ Faille

Il factorise les clés RSA d'une AC de 1998

Matthew McPherrin7 septembre3 min de lecture

Matthew McPherrin a extrait les racines de confiance des vieux installeurs Netscape et Internet Explorer archivés sur archive.org, puis factorisé deux certificats 512 bits de l'autorité canadienne E-Certify livrés dans Netscape 4.51 en mars 1999 : 32 heures et 29 heures de CADO-NFS sur un Ryzen 9 5950X de bureau. Les clés privées sont publiées. L'exploit n'a aucune portée pratique — les racines ont expiré en 2003 — mais il matérialise ce que veut dire « clé trop courte » à l'heure où RSA-260 vient d'être factorisé.

Deux racines E-Certify de 512 bits, livrées dans Netscape 4.51 (mars 1999), retirées en 2002, expirées le 16 octobre 2003
CADO-NFS sur un Ryzen 9 5950X : 32 h pour la racine SSL, 29 h pour la racine S/MIME — un poste de bureau, pas un cluster
Clés, certificats et outillage dans github.com/mcpherrinm/ancientroots ; RSA-260 (862 bits) est tombé quelques jours plus tôt

Une clé que personne ne dérange est surtout une clé que personne ne renouvelle.

Lire la fiche Source

02 DOCKER Discussion

Un conteneur sans shell, sans distro, signé

grepular.com5 septembre3 min de lecture

Mike Cardwell reprend l'image officielle de PowerDNS Recursor — Debian, 355 Mo, ~7 500 fichiers — et la ramène à une image scratch de 36 Mo contenant deux exécutables compilés statiquement avec Musl. Landlock et une liste blanche seccomp verrouillent l'exécution ; un SBOM CycloneDX généré depuis l'éditeur de liens rend l'image de nouveau lisible par les scanners, qui sans lui ne trouvaient rien faute d'index de paquets.

355 Mo et ~7 500 fichiers (Debian) ramenés à 36 Mo et 2 fichiers sur `scratch`, via compilation statique Musl
seccomp en liste blanche : `io_uring`, `bpf`, `userfaultfd`, `keyctl` et `memfd_create` fermés ; compose : `read_only`, `cap_drop: [ALL]`, `ipc: none`, `no-new-privileges`
Sans distro, Trivy/Grype/OSV ne trouvent rien : SBOM CycloneDX depuis le linker, attestation SPDX + SLSA, exceptions en OpenVEX, signature cosign via Fulcio et Rekor

Une image vide de scanner n'est pas une image sûre.

Lire la fiche Source

03 DEVOPS Discussion

Broadcom retire le VDDK, migrer devient dur

Virtualization Howto7 septembre3 min de lecture

Broadcom a supprimé les pages de téléchargement public du VMware Virtual Disk Development Kit, la bibliothèque sur laquelle s'appuient Azure Migrate, le Migration Toolkit de Red Hat, Nutanix Move, virt-v2v et nbdkit. ShapeBlue l'a constaté le 25 août 2026 pour les versions 8 et 9 ; le support Broadcom confirme aux clients que le kit « n'est plus disponible ». Aucune annonce officielle n'accompagne le retrait, et Microsoft a mis à jour sa documentation.

VDDK 8 et 9 : toutes les pages de téléchargement testées renvoient 404, constaté par ShapeBlue le 25 août 2026
Outils touchés : Azure Migrate, Red Hat Migration Toolkit, Nutanix Move, virt-v2v, nbdkit — tous les chemins de sortie de vSphere
Aucun communiqué, aucune dépréciation annoncée, aucun remplaçant ; le support renvoie vers les Technology Alliance Partners

Une porte de sortie qu'on n'a pas testée n'est pas une porte de sortie.

Lire la fiche Source

04 DEVOPS Article

Appwrite 2.0 ouvre un accès direct à Postgres

heise Developer7 septembre3 min de lecture

Appwrite 2.0 ajoute des bases PostgreSQL et MySQL natives accessibles directement par leur protocole, sans passer par l'API de la plateforme, plus deux bases gérées : DocumentsDB (JSON sans schéma) et VectorsDB (index HNSW, API d'embeddings intégrée). S'y ajoutent une API de stockage compatible S3 et un serveur OAuth 2.1 / OpenID Connect. Les projets cloud migrent seuls ; une installation auto-hébergée en 1.9 exige une migration explicite.

PostgreSQL 18 par défaut (17 en variante), MySQL 8.4 ou 8.0 ; connexion directe via psql, pilote ou ORM — MariaDB et MongoDB restent supportés
VectorsDB : index HNSW, similarité cosinus / produit scalaire / distance euclidienne, dimension fixée par collection, API d'embeddings intégrée
Serveur OAuth 2.1 + OIDC (PKCE, introspection, révocation, JWT, Device Authorization Grant, enregistrement dynamique) et API S3 en AWS SigV4 — compatible AWS CLI et rclone

Une plateforme qui vous rend le port 5432 vous rend aussi la sortie.

Lire la fiche Source

05 PHP Release

Doctrine 3.7 : la pagination par curseur

Doctrine ORM7 septembre2 min de lecture

Doctrine ORM 3.7.0 intègre la pagination par curseur en standard : CursorPaginator navigue par valeur de tri plutôt que par décalage, et l'ancien comportement devient explicite sous OffsetPaginator. La version bascule aussi les objets partiels sur les lazy objects natifs de PHP et ordonne les UPDATE de l'unité de travail pour éviter les deadlocks sur ShareLock. Cinq dépréciations accompagnent la montée, dont JoinColumns et TypedExpression.

`CursorPaginator` (API de page immuable) et `OffsetPaginator` ; correctif du curseur quand le tri porte sur une association ManyToOne (#12485)
Objets partiels portés sur les *native lazy objects* de PHP (#12210) ; l'UnitOfWork ordonne ses UPDATE pour éviter les deadlocks ShareLock (#12489)
Dépréciations : `JoinColumns`, `TypedExpression` → `ExpressionWithReturnType`, `LockMode::NONE` devient un no-op — 35 PR, 13 contributeurs

Une dépréciation qu'on ne lit pas devient une migration majeure qu'on subit.

Lire la fiche Source

06 LARAVEL Article

Des règles métier qui changent avec la date

Laravel News7 septembre2 min de lecture

Laravel Rulebook, de Mathias Onea, modélise les règles métier qui changent dans le temps : chaque règle est une classe PHP qui déclare sa fenêtre de validité (always, from, until, between), et la résolution rend un gagnant unique désigné par priorité, accompagné de la raison de chaque règle — gagnante, perdante ou hors fenêtre. Un snapshot fige la décision en JSON, ce qui permet de justifier après coup un calcul fait sous une politique révolue.

`composer require mathiasonea/laravel-rulebook` — PHP 8.3 et Laravel 12 ou 13 requis
Fenêtres semi-ouvertes via `ValidityPeriod::between()` / `from()` : deux politiques annuelles consécutives ne se chevauchent jamais
`NoMatchingRule` quand rien ne s'applique, `AmbiguousRuleMatch` en cas d'égalité ; chaque résultat porte un `reason` et un `reasonCode` filtrables, et `snapshot()` sérialise la décision

Git garde l'histoire du code, pas celle de vos décisions.

Lire la fiche Source

07 LLM Article

Un contexte d'un million sur huit H200

vLLM8 septembre4 min de lecture

vLLM introduit Hybrid HiSparse, une politique de résidence du cache KV qui exploite l'attention creuse de GLM 5.3 : l'indexeur ne retient que les top-K jetons, tout le reste part en mémoire hôte, ce qui borne la mémoire GPU par requête. Le cache reste sur la carte tant qu'il y a de la place et ne bascule qu'en cas de pression. Sur un nœud de 8× H200, cela rend possible le contexte plein d'un million de jetons, jusque-là hors d'atteinte.

Mesuré sur 8× H200, charge agentique OpenHands : 13 tours, premier tour de 74 160 jetons, tours suivants de 753, sorties fixées à 220
Configuration TP8, MTP3, cache KV en FP8, `max_num_batched_tokens=32768`, `max_num_seqs=256`, `gpu_memory_utilization=0.92`
Budget hôte identique réparti autrement : 512 Gio de pool de déchargement côté référence, contre 384 Gio HiSparse + 128 Gio de déchargement — livraison annoncée dans vLLM v0.30

La mémoire ne manquait pas : on la remplissait de jetons que personne ne lisait.

Lire la fiche Source

08 MESURE Discussion

Dire « fais du TDD » à un agent ne suffit pas

danluu.com7 septembre4 min de lecture

Dan Luu a comparé 26 consignes de test données à un agent codeur sur la même tâche — implémenter Zstandard en Rust, évalué sur une suite de tests cachée — à raison de 80 exécutions par condition et par niveau d'effort. Aucune ne surpasse nettement les autres, et l'absence de consigne se classe au-dessus de la moyenne. Les traces montrent pourquoi : nommer une technique ne la fait pas appliquer, elle est reproduite superficiellement.

26 conditions (TDD, property-based, fuzzing, mutation, TLA+, Lean 4, Verus, Alloy, SMT, « make no mistakes »…) plus 4 skills publiques, 80 runs par condition et par effort
« Default », sans aucune instruction, se classe au-dessus de la moyenne ; les skills de test recommandées et le TDD sous-performent
Résultat reproduit sur une seconde tâche (RFC IMAP, 40 runs) ; en formel, les agents écrivent des preuves vacues du type `requires 0 < a <= window` … `ensures 0 < a <= window`

Nommer une technique n'est pas la pratiquer — pour un agent non plus.

Lire la fiche Source

09 OUTILS Discussion

TALA passe en open source dans D2 0.9

d2lang.com7 septembre2 min de lecture

TALA, le moteur de placement propriétaire de Terrastruct conçu pour les diagrammes d'architecture, passe en open source sous MPL-2.0 et arrive dans D2 v0.9.0. Contrairement à Dagre et ELK, il est orthogonal plutôt qu'orienté DAG, et permet de verrouiller les coordonnées de certains nœuds en laissant les autres au moteur. En contrepartie il comporte de l'aléatoire : ajouter un nœud peut redessiner tout le schéma.

Licence MPL-2.0, livré dans D2 v0.9.0 : `d2 --layout=tala`, ou play.d2lang.com qui tourne à 100 % côté client
Positionnement mixte : `top` / `left` fixés sur certains nœuds, placement automatique pour le reste — le routage des liens reste au moteur
Aléatoire assumé : 3 graines par défaut, la mieux notée l'emporte ; moins bon que Dagre et ELK sur les DAG, temps de calcul non linéaire (dépôt d2lang/d2-benchmarks)

Un schéma qu'on ne peut pas cadrer finit par ne plus rien dire.

Lire la fiche Source

10 RUST Discussion

Rust : un développeur sur deux sans débogueur

blog.rust-lang.org7 septembre3 min de lecture

La première enquête de l'équipe compilateur de Rust sur le débogage, close sur plus de 2 300 réponses, montre que 46 % des répondants utilisent un débogueur — donc que la majorité n'en utilise pas, alors que 80 % se déclarent de niveau intermédiaire ou avancé. La raison la plus citée, par 81 %, est que les traces et la macro dbg! vont plus vite. Le débogage d'asynchrone et les plateformes Windows, WebAssembly et embarqué concentrent les plaintes.

2 300+ réponses ; 46 % utilisent un débogueur aujourd'hui, ~50 % des débutants n'en ont jamais utilisé, 80 % des répondants se disent intermédiaires ou avancés
81 % répondent que les logs et `dbg!` sont plus simples ou plus rapides ; hors print, lldb dans l'IDE domine, gdb en ligne de commande suit — égalité à 0,4 point sous Linux
44 % déboguent du Rust mélangé à un autre langage (C 70 %, C++ 43 %, Python 20 %) ; seuls 25 % déboguent du code asynchrone

Un outil que la moitié des experts n'ouvrent pas est un outil à revoir.

Lire la fiche Source

VeilleTech — feed du mardi 8 septembre