VeilleTech — 2026-09-09

01 SÉCURITÉ Faille

Magento : le zero-day exploité est corrigé

The Hacker News8 septembre2 min de lecture

Adobe a publié le 7 septembre le correctif de CVE-2026-75650 (CVSS 10.0), baptisée StyleSmuggler par Sansec, exploitée en zero-day depuis le 4 septembre sur Adobe Commerce et Magento Open Source. La faille transforme le moteur de templates en exécution de code non authentifiée, via le courriel de rappel d'échec de paiement ; les attaquants déposent une porte dérobée Linux en Rust et un web shell PHP. Le patch VULN-39341 ne suffit pas : Adobe impose aussi la rotation des clés de chiffrement.

CVE-2026-75650, CVSS 10.0, « StyleSmuggler » (Sansec) — exploitation zero-day depuis le 04/09/2026, 22h20 UTC ; inscrite au KEV de la CISA le 08/09, échéance fédérale au 11/09/2026
Versions touchées : Adobe Commerce et Magento Open Source 2.4.4 à 2.4.9 (builds 2026-aug et antérieurs), Commerce B2B 1.3.3, 1.3.4, 1.4.2, 1.5.2 et 1.5.3. Correctif : patch VULN-39341, repo.magento.com/patch/VULN-39341-composer-patches.zip, suivi d'une rotation des clés de chiffrement
Charges observées : porte dérobée Linux en Rust contactant un serveur externe, et dropper PHP écrivant un web shell. Disrex a vu un serveur compromis 50 minutes après la première exploitation confirmée ; Previdian compte 12 tentatives depuis le 07/09 depuis deux IP (Chine, Roumanie)

Le correctif ferme la porte. Il ne renvoie pas celui qui est déjà entré.

Lire la fiche Source

02 SÉCURITÉ Faille

FreeIPA : un anonyme devient administrateur

The Hacker News8 septembre3 min de lecture

Red Hat décrit une chaîne à deux failles qui laisse un client LDAP jamais authentifié écrire une identité Kerberos et se retrouver dans le groupe des administrateurs d'un domaine FreeIPA installé par défaut : CVE-2026-76578 (CVSS 9.8, préliminaire) côté FreeIPA, CVE-2026-76560 (7.5) côté 389 Directory Server. Le correctif du projet est FreeIPA 4.13.4 ; côté distributions, les paquets ipa n'étaient pas encore livrés. Une troisième faille, CVE-2026-79678 (8.1), expose les variables d'environnement du serveur — donc les mots de passe des installations en conteneur.

CVE-2026-76578 (FreeIPA, CVSS 9.8 préliminaire) + CVE-2026-76560 (389 Directory Server, 7.5) : la règle « propriétaire authentifié » compare des noms en texte brut, et le nom d'un client anonyme est vide — il correspond donc à une valeur vide
Corrigé dans FreeIPA 4.13.4. Côté Red Hat, 14 avis 389-ds publiés le 08/09 entre 01h56 et 05h07 UTC, dont RHSA-2026:64785 (RHEL 10, 389-ds-base-3.2.0-10.el10_2) ; paquets ipa non encore listés, Fedora en ON_QA
Contournements : filtrer les ports LDAP 389 et 636 vers les hôtes de confiance, désactiver les binds anonymes. La troisième faille, CVE-2026-79678 (8.1), atteint un eval() Python dans idp-add avant le contrôle de permission — vérifier que les mots de passe du premier démarrage ne sont plus dans l'environnement des conteneurs

Deux failles inoffensives chacune. Mises bout à bout, un compte admin.

Lire la fiche Source

03 SÉCURITÉ Faille

ChatGPT lit un Gmail et l'envoie ailleurs

The Hacker News8 septembre3 min de lecture

Check Point Research a montré qu'une instruction plantée dans une conversation ChatGPT pouvait faire lire le Gmail connecté de la victime et transmettre le contenu à un autre compte, pendant que la réponse visible restait normale. Le canal passait par une instance interne d'Artifactory que tous les conteneurs d'exécution peuvent joindre : ses propriétés de fichiers n'étaient pas cloisonnées par compte. OpenAI a mis le service hors ligne ; ce qui reste ouvert, c'est le réglage par défaut des applications connectées, qui autorise la lecture sans confirmation.

Trois vecteurs pour planter l'instruction : un prompt collé par l'utilisateur, une conversation ChatGPT partagée, ou un GPT personnalisé dont les instructions du créateur ne sont pas affichées
Le canal : les conteneurs de code joignent tous une instance interne JFrog Artifactory ; leurs identifiants de lecture, présents dans les variables d'environnement, permettent aussi d'écrire des « properties » sur un fichier, non cloisonnées par compte (PoC : propriété chatgpt_test_ts écrite depuis un compte, lue depuis un autre)
Le seul signe visible était la mention « Talked to Gmail » après coup. La permission par défaut des apps connectées est « Important actions », qui lit sans demander ; basculer sur « Always ask ». Apps activées par défaut sur Business, désactivées sur Enterprise et Edu

L'agent a répondu à votre question. Et à celle de quelqu'un d'autre.

Lire la fiche Source

04 SÉCURITÉ Faille

Une extension Chrome posée sans le Web Store

The Hacker News7 septembre3 min de lecture

SOCRadar décrit PEEP, une boîte à outils de post-compromission qui se fait passer pour une extension de marque-pages et s'installe dans Chrome et Edge sans le Web Store, en forgeant les valeurs d'intégrité du fichier Secure Preferences de Chromium. Un binaire de messagerie native lui donne l'exécution de commandes sur la machine hôte, ce qui la fait sortir du bac à sable du navigateur. Elle dérive de RedExt, un cadre open source de red team déjà réutilisé dans les attaques GlassWorm.

Extension « Smart Bookmarks », ID ejkndncpkdcjcikfhiamcdehdoegilbj ; C2 sur 206.237.30[.]232 ou xfjcc[.]fun, sondage de /api/commands toutes les 30 s en HTTP clair, panneau sur le port 5001
Installation : install_silent.ps1 (mode développeur), patch_secure_prefs.ps1 (intégrité de Secure Preferences), force_enable.ps1 (CRX dans %LOCALAPPDATA%\PEEP\crx, clé HKCU Extensions, manifeste External Extensions), plus patch_secure_prefs_linux.py. Persistance aussi par ExtensionInstallForcelist et ExtensionSettings
Le pont de messagerie native com.peep.lab/nm_host.exe exécute les commandes système. Le panneau /health affichait 34 agents, 10 sessions actives et 507 enregistrements ; activité non attribuée, artefacts en chinois

Le navigateur est signé. Ce qui tourne dedans ne l'est plus.

Lire la fiche Source

05 CLOUDFLARE Article

Cloudflare passe ses origines au post-quantique

Cloudflare8 septembre4 min de lecture

Cloudflare sonde désormais chaque origine pour savoir quels algorithmes d'échange de clés elle accepte, au lieu de toujours commencer par X25519. Résultat sur la cohorte déjà déployée : les HelloRetryRequest passent de 52 % à 3,7 %, la latence p90 de poignée de main perd plus de 150 ms, et 99,2 % des connexions post-quantiques aboutissent en un seul aller-retour. Automatic Key Exchange est actif par défaut ; le réglage de conformité qui impose l'hybride post-quantique, lui, casse les connexions vers une origine qui ne le supporte pas.

HelloRetryRequest de ~52 % à 3,7 % sur les origines scannées, plus de 150 ms gagnées en latence p90 ; part des connexions post-quantiques sans reprise de 0 % à 99,2 %, et trafic post-quantique vers les origines passé de 25 à 45 milliards de connexions par jour
Sur plus d'un million de domaines déjà traités : 64 % restent sur X25519, 33 % basculent sur X25519MLKEM768, 3 % préfèrent P-256, P-384 ou P-521. Environ 9 000 domaines changent de préférence chaque jour ; rescan quotidien
Piège : le réglage « Post-quantum hybrid » (SSL/TLS > Overview > Configure) interdit les algorithmes classiques — si l'origine ne parle pas X25519MLKEM768, toutes les connexions TLS 1.3 échouent. Support post-quantique des origines mesuré : 0,5 % en 2023, 12,8 % aujourd'hui

Q-Day est daté à 2029. Le trafic enregistré aujourd'hui, lui, n'expire pas.

Lire la fiche Source

06 PHP Article

Pest génère les entrées de test qu'on oublie

Laravel News8 septembre3 min de lecture

Le paquet Fuzz de Jon Purvis apporte le fuzzing guidé par la couverture dans Pest 5, en s'appuyant sur PHP-Fuzzer de nikic : il déforme des chaînes de départ, observe les chemins parcourus dans le code et conserve celles qui atteignent une branche neuve. Sur l'exemple d'un parseur de limite de débit, il trouve l'entrée « 5/ » qui provoque une DivisionByZeroError. Aucune extension de couverture n'est nécessaire, mais la fonction cible doit être définie hors du test, sans quoi rien n'est instrumenté.

Installation : composer require jonpurvis/fuzz --dev — exige PHP 8.4+ et Pest 5. API : fuzz($target)->seed([...])->withDictionary([...])->runs(2000)->maxLen(16)->run('nom-du-test')
Vérifié sur Fuzz v1.0.1 : la fonction cible doit être définie en dehors de test(), car Fuzz l'exécute dans un processus PHP séparé où la classe de test générée par Pest n'existe pas — un Closure::fromCallable() passé directement n'enregistre aucune couverture
Les entrées fautives sont écrites dans .pest/fuzz-crashes/. Les TypeError, warnings et notices non supprimés font échouer ; les exceptions ordinaires, dont celles de validation Laravel, sont ignorées par défaut — allow() restreint cette liste, timeout() exige l'extension pcntl

Un test vert veut dire « rien trouvé en deux mille essais ». Pas « pas de bug ».

Lire la fiche Source

07 LLM Discussion

Kimi K3 tourne sur un MacBook, à 1 token/s

GitHub8 septembre3 min de lecture

Le fork ARGODRIVE Deltafin fait tourner Kimi K3 — 2,8 T de paramètres MoE, 1,45 To de poids d'experts, sans aucun élagage — sur un seul MacBook Pro M5 Max de 128 Go, les experts étant lus depuis quatre SSD. Mesure du 8 septembre 2026 : 1,0015 token/s en décodage stable sur 512 tokens, mais environ 376 s avant le premier token, le préremplissage relisant huit fois les experts de chaque couche. L'enseignement le plus utile est ailleurs : la vitesse dépend de la plus lente des seize lectures par couche, pas de la bande passante cumulée.

Mesures du 08/09/2026, exécutions à froid, journaux publiés : 1,0015 tok/s sur 512 tokens générés (0,9232 sans drafter), 1,1252 sur 128 tokens, 0,9631 sur le prompt public de 17 tokens — l'amont annonçait 0,684
Échelle des disques : un SSD ≈ 52 % de la vitesse à quatre, deux ≈ 73 %, trois ≈ 90 %. C'est la latence de la plus lente des 16 lectures d'experts par couche qui fixe le rythme, pas la bande passante totale
Limite assumée : ≈ 376 s avant le premier token sur un prompt de 512 tokens, cause identifiée (le préremplissage relit 8× les experts de chaque couche), correctif prévu mais pas écrit. Fork de gavamedia/deltafin (MIT), matériel ≈ 15 000 $ contre les 16 nœuds et 4,8 To de VRAM recommandés

Un token par seconde, c'est lent. Le savoir mesuré, ça ne l'est pas.

Lire la fiche Source

08 NODE Release

Node 24.21 LTS : quatre ajouts et OpenSSL

Node.js8 septembre2 min de lecture

Node.js 24.21.0 « Krypton » est sortie le 8 septembre sur la branche LTS, avec quatre ajouts SEMVER-MINOR et une montée de dépendances. Les plus utiles au quotidien : un MIMEType.parse qui ne lève plus d'exception sur une entrée invalide, et une net.BlockList réécrite pour être plus rapide. Côté dépendances, OpenSSL passe en 3.5.8, Undici en 7.29.1 et les certificats racines suivent NSS 3.126.

Quatre SEMVER-MINOR : util.MIMEType.parse non-throwing (#64965), performance de net.BlockList (#64974), implémentation d'histogramme revue (#65024) et test d'hypothèse statistique dans perf_hooks (#65416) — les quatre signés James M Snell
crypto : chargement de clés privées par les STORE loaders d'OpenSSL (#63949, Filip Skokan), pour les clés qui ne sont pas dans un fichier
Dépendances : OpenSSL 3.5.8 (#65542), Undici 7.29.1 (#65789), certificats racines alignés sur NSS 3.126 (#65495). Publiée le 08/09/2026 par @aduh95

Une LTS ne se fête pas. Elle s'épingle dans le Dockerfile.

Lire la fiche Source

09 RUST Article

NVIDIA ouvre deux voies pour CUDA en Rust

NVIDIA Developer8 septembre3 min de lecture

NVIDIA ouvre deux projets pour écrire des kernels GPU directement en Rust, compilés en PTX plutôt qu'enveloppés autour de code écrit ailleurs : cuda-oxide pour le modèle SIMT et cutile-rs pour le modèle Tile. L'apport n'est pas syntaxique : le compilateur refuse à la compilation l'aliasing entre le tampon de sortie d'un kernel et ses entrées. Les deux projets sont précoces — cuda-oxide en alpha exige une nightly épinglée, cutile-rs tourne sur Rust stable et est déjà utilisé en dehors de NVIDIA.

cuda-oxide (SIMT) : backend de codegen rustc, chemin MIR → Pliron → LLVM IR → PTX. Exige Linux, compute capability 8.0+, CUDA 12.x+, clang et la nightly épinglée nightly-2026-04-03 ; `cargo oxide new`, `cargo oxide doctor`, `cargo oxide run`
cutile-rs (Tile) : publié sur crates.io, Rust stable 1.89+, CUDA 13.3, ni nightly ni LLVM à fournir ; JIT via CUDA Tile IR. Déjà utilisé par Grout (Hugging Face) et mistral.rs
Sécurité vérifiée à la compilation : DisjointSlice donne à chaque thread un accès exclusif, #[launch_contract] est validé contre les limites réelles du GPU, et l'aliasing échoue en E0502 (cuda-oxide) ou E0382 (cutile-rs). La mémoire partagée en SIMT demande encore unsafe. Papier « Fearless Concurrency on the GPU », arXiv 2606.15991

Le GPU ne pardonne pas une course. Le compilateur, lui, peut la refuser.

Lire la fiche Source

10 LINUX Discussion

Le CERN quitte CentOS pour Debian

LWN.net8 septembre4 min de lecture

Federico Vaga et Nikos Tsipinakis ont raconté à la MiniDebConf Winterthur pourquoi le CERN migre vers Debian les 2 200 ordinateurs qui pilotent son complexe d'accélérateurs. Le déclencheur est le niveau d'architecture retenu par Red Hat : 47 % des machines ne démarreraient pas avec des binaires x86-64-v2, 17 % de plus avec le v3, et le renouvellement du matériel était chiffré à 5,4 millions de francs suisses. Le déploiement vise début 2027, pendant l'arrêt long de l'accélérateur.

Déclencheur : RHEL 9 compilé pour x86-64-v2 et RHEL 10 pour x86-64-v3 — 47 % des systèmes du CERN ne démarreraient pas en v2, 17 % de plus en v3, soit près de 65 % du parc. Coût de renouvellement estimé à 5,4 millions CHF (environ 6,67 M$)
Périmètre : seuls les 2 200 ordinateurs frontaux enfouis à 100 m migrent vers Debian 13 trixie, avec un noyau construit depuis kernel.org et les pilotes maison intégrés. Les consoles restent sur AlmaLinux 10 + Xfce, le centre de calcul passe de RHEL 9 à AlmaLinux 10
Calendrier et outillage : arrêt de l'accélérateur le 01/09/2026, déploiement début 2027, stabilité visée jusqu'à fin 2033 (Debian 13 tenable jusqu'en 2035 avec LTS puis ELTS de Freexian). ELBE pour compiler du Debian sur RHEL, boot multi-serveurs sur Kubernetes, registre de paquets GitLab et un plugin Koji pour construire des paquets Debian

Un drapeau de compilation a coûté une distribution à tout un accélérateur.

Lire la fiche Source

VeilleTech — feed du mercredi 9 septembre