VeilleTech — 2026-09-10

01 FRONT Article

React 19.3 : les View Transitions sont stables

React9 septembre3 min de lecture

React 19.3 est sortie le 9 septembre. Elle stabilise les View Transitions et les Fragment Refs, ajoute browser() dans react-dom pour marquer un composant client-only, le support des Trusted Types, et la possibilité de rendre un <Context value> directement depuis un Server Component. Deux besoins qui passaient par des bibliothèques tierces rentrent dans le framework.

<ViewTransition> n'anime que dans une Transition : startTransition, useDeferredValue ou une frontière <Suspense> qui se résout. Quatre déclencheurs : enter, exit, update, share (même name réutilisé ailleurs dans l'arbre)
addTransitionType('next') dans le startTransition, puis <ViewTransition enter={{next: 'from-right'}} exit={{next: 'to-left'}}> ou le sélecteur CSS :active-view-transition-type(next)
FragmentInstance : addEventListener / removeEventListener / dispatchEvent, focus / focusLast / blur, observeUsing / unobserveUsing, getClientRects, scrollIntoView, compareDocumentPosition — sans nœud DOM enveloppant

Une animation qui n'a plus besoin d'une div en trop.

Lire la fiche Source

02 SÉCURITÉ Faille

Chrome : un zero-day V8 exploité, 230 correctifs

The Hacker News9 septembre2 min de lecture

Chrome 153 corrige 230 failles, dont CVE-2026-87491, une écriture hors limites dans le moteur V8 pour laquelle Google reconnaît l'existence d'un exploit en circulation. La CISA l'a ajoutée à son catalogue des vulnérabilités activement exploitées le 9 septembre. C'est le septième zero-day Chrome exploité en 2026 ; la mise à jour ne prend effet qu'après redémarrage du navigateur.

CVE-2026-87491 — écriture hors limites dans V8, exploitée dans la nature. Corrigée dans Chrome 153.0.8010.36/.37 (Windows, macOS) et 153.0.8010.36 (Linux) ; 230 failles corrigées au total
Ajoutée au KEV de la CISA le 09/09/2026 avec CVE-2025-25249 (Fortinet), CVE-2026-19490 (Citrix NetScaler) et CVE-2026-20079 (Cisco Firewall Management Center)
Signalée le 06/08/2026 par Jihyeon Jeong (Compsec Lab, Seoul National University), prime de 2 500 $. Septième zero-day Chrome de 2026, après CVE-2026-2441, CVE-2026-3909, CVE-2026-3910, CVE-2026-5281, CVE-2026-11645 et CVE-2026-85046

Le bac à sable tient. Il tient jusqu'à la deuxième faille.

Lire la fiche Source

03 SÉCURITÉ Faille

cPanel : un compte mail devient root

The Hacker News9 septembre3 min de lecture

cPanel a publié le 8 septembre un correctif pour CVE-2026-67401, décrite comme une injection SQL dans EmailTrack : un titulaire de compte authentifié disposant de privilèges liés au courrier peut créer des fichiers arbitraires sur le serveur, puis exécuter du code en tant que root. Toutes les versions supportées de cPanel et WHM sont affectées, ce qui met en cause l'isolation entre comptes sur tout serveur mutualisé.

CVE-2026-67401 — avis cPanel du 08/09/2026, classé « SQL injection issue in EmailTrack ». Aucun score CVSS attribué à ce jour, aucun exploit public constaté au 09/09/2026
Builds corrigés : 11.110.0.143, 11.134.0.55, 11.136.0.39, 11.138.0.4 et WP Squared 11.138.1.9. Toutes les versions supportées de cPanel & WHM sont affectées
Mise à jour : WHM > Home > cPanel > Upgrade to Latest Version, ou en ligne de commande /usr/local/cpanel/scripts/upcp --force. Faille signalée par Ali Mustafa (rz1027) et abed1526

Sur un mutualisé, le compte le plus faible fixe le niveau de tous.

Lire la fiche Source

04 SÉCURITÉ Faille

Des jetons IA volés contournent la MFA

The Hacker News9 septembre3 min de lecture

Okta a analysé un dump d'infostealers de 7 Go et y a trouvé 44 791 JWT uniques, dont 555 liés à des services d'IA et 1 843 encore valides à la publication, plus 24 clés d'API fonctionnelles (Gemini, OpenAI, Groq, OpenRouter). Un jeton de session volé se rejoue tel quel : il a été émis après la MFA, il n'a donc plus besoin d'elle. Les fournisseurs touchés incluent Google, Anthropic, Microsoft, Amazon, OpenAI, Notion et Cursor.

Dump de 7 Go analysé par Okta : 5 871 machines infectées dans 162 pays, 44 791 JWT uniques dont 555 liés à des services IA, plus 2 937 structures JWE
1 843 JWT/JWE encore non expirés à la publication, 24 clés d'API valides (Google Gemini, OpenAI, Groq, OpenRouter), 17,7 % des JWT contenant des données personnelles en clair
Contre-mesures citées : allowlist d'IP, Device Bound Session Credentials (DBSC), OAuth 2.0 à jetons de courte durée, passkeys. Voleurs nommés : Lumma Stealer et Vidar

La MFA protège la connexion. Pas ce qu'elle a délivré.

Lire la fiche Source

05 IA Discussion

L'agent désactive son bac à sable tout seul

The Hacker News9 septembre3 min de lecture

CVE-2026-82533 (CVSS 9.4) permettait à un agent de code exécuté dans DeepSeek Harness de désactiver son propre bac à sable fichier avec une seule commande shell : l'interface web locale de l'outil se fiait à l'en-tête Host envoyé par le client au lieu de vérifier l'origine de la connexion, et acceptait donc de basculer la session en danger-full-access sans validation. Corrigé depuis la 0.1.2-alpha.2 par un jeton à usage unique échangé contre un cookie signé.

CVE-2026-82533, CVSS 9.4 — publiée par VulnCheck le 08/09/2026. Vulnérables : DeepSeek Harness 0.1.1-rc.2 et antérieures
Corrigé en 0.1.2-alpha.1 (27/08, GitHub seulement), 0.1.2-alpha.2 (première publication npm, 30/08) et 0.1.2-rc.1 (npm courant, 03/09)
Cause : l'interface web locale se fiait à l'en-tête Host fourni par le client sans vérifier l'origine de la connexion ; une commande shell suffisait à passer la session en danger-full-access. Signalé par OX Research le 24/08, décrit publiquement les 13 et 14/08 dans les discussions GitHub de DeepSeek

Un bac à sable dont on tient l'interrupteur de l'intérieur n'en est pas un.

Lire la fiche Source

06 OLLAMA Release

Ollama branche vos modèles sur ChatGPT

Ollama10 septembre1 min de lecture

Ollama v0.34.0 permet d'utiliser les modèles servis localement directement dans ChatGPT Desktop, configuré depuis l'application Ollama sur macOS. La release améliore aussi les performances des sorties structurées sur Apple Silicon, ajoute la recherche d'outils pour les clients compatibles OpenAI, et corrige la gestion des images à travers les réponses compactées.

Les modèles Ollama s'utilisent directement dans ChatGPT Desktop ; la configuration passe par l'application Ollama sur macOS
Performances des sorties structurées (schéma JSON) améliorées sur Apple Silicon ; ajout de la recherche d'outils pour les clients compatibles OpenAI
La compaction de réponses gère correctement les images. Version v0.34.0, publiée le 09/09/2026 (diff v0.33.3…v0.34.0)

Le modèle reste chez vous. L'interface, elle, peut venir d'ailleurs.

Lire la fiche Source

07 CLOUDFLARE Article

Workers : Node par défaut, 64 Mio de code

Cloudflare9 septembre3 min de lecture

Cloudflare a réécrit le registre de modules de workerd : les API Node sont désormais actives par défaut, la taille maximale d'un Worker passe à 64 MiB sur tous les plans et la limite de taille compressée disparaît. Le nouveau registre traite les spécificateurs comme de vraies URL, ce qui débloque import.meta.resolve(), require(esm) aux règles Node, la compilation paresseuse et des caches de code partagés. Il s'active explicitement, par un drapeau de compatibilité.

Opt-in explicite : compatibility_flags = ["new_module_registry"] dans wrangler.toml ou wrangler.jsonc — le drapeau n'est pas déclenché par la compatibility_date
APIs Node activées par défaut ; taille maximale d'un Worker portée à 64 MiB sur tous les plans, limite de taille compressée supprimée
Nouveautés : import.meta.url / .main / .resolve(), spécificateurs traités comme des URL (query et fragment), résolution node: cohérente, attributs d'import (type json), require(esm) aux règles Node, compilation paresseuse au premier import, caches de code partagés entre répliques d'isolat, imports WebAssembly en source phase

Les polyfills que vous aviez écrits ont perdu leur raison d'être.

Lire la fiche Source

08 DEVOPS Article

Kubernetes : cinq états normalisés pour un node

Kubernetes9 septembre3 min de lecture

Kubernetes v1.37 réserve cinq noms de conditions de nœud — DrainInProgress, Drained, MaintenancePlanned, MaintenanceInProgress et GracefulNodeShutdownInProgress — pour dire, dans l'API et non plus par une annotation maison, qu'un nœud est en train d'être drainé, entretenu ou arrêté proprement. Ce sont des conditions déclaratives : elles donnent un vocabulaire partagé aux contrôleurs et aux outils de maintenance, sans imposer de comportement.

Cinq conditions réservées en v1.37 : DrainInProgress, Drained, MaintenancePlanned, MaintenanceInProgress, GracefulNodeShutdownInProgress
Format standard : type + status (True / False / Unknown) + reason lisible par une machine + lastTransitionTime + message. Publiées par les contrôleurs et les outils de maintenance, pas par un mécanisme d'application
Feature gate NodeLifecycleConditions : Alpha, désactivée par défaut, et sans effet en v1.37 — aucun composant du cœur ne lit ces conditions, rien à activer pour les publier. Suivi dans KEP-5683

Un vocabulaire commun coûte moins cher qu'une convention par outil.

Lire la fiche Source

09 LARAVEL Article

Laravel 13.31 compte toute une file d'un coup

Laravel News9 septembre2 min de lecture

Laravel 13.31.0, sortie le 8 septembre, ajoute Queue::totalSize() pour compter tous les jobs d'une connexion en un appel, un événement JobInterrupted émis quand le worker stoppe un job interruptible, et le support de chaperone() sur les modèles pivots d'une relation BelongsToMany. Côté tests, quatre nouvelles assertions « once » remplacent la vérification de compteurs pour les mails et les notifications.

Queue::totalSize() remplace l'addition de totalPendingSize() + totalDelayedSize() + totalReservedSize() (Jack Bayliss)
Événement JobInterrupted, émis quand un job interruptible est stoppé par le worker — le point d'accroche pour libérer un verrou ou journaliser (Jack Bayliss)
chaperone() sur les modèles pivots de BelongsToMany, sans requête supplémentaire (Caleb White) ; Mail::assertSentOnce(), Mail::assertQueuedOnce(), Notification::assertSentToOnce(), Notification::assertSentOnDemandOnce(), Vite::devServerUrl(). Laravel 13.31.0, publiée le 08/09/2026

Une interruption qui ne dit rien est une interruption qu'on découvre trop tard.

Lire la fiche Source

10 RÉSEAU Discussion

5,5 millions de requêtes par minute sur la doc

about.readthedocs.com9 septembre2 min de lecture

Read the Docs raconte l'attaque par déni de service distribué qu'il a encaissée à la mi-juin 2026 : près de dix jours, un pic à 5,5 millions de requêtes par minute contre moins de 100 000 habituellement, depuis des millions d'IP réparties dans tous les pays. L'attaque ciblait volontairement les URL en échec de cache (404, redirections 302) et randomisait en-têtes et paramètres TLS. Ce qui a tenu : cache agressif, empreinte de requête plutôt que filtrage par origine, et règles déployées en Terraform.

Pic à 5,5 M de requêtes/minute, environ 100× le trafic habituel (moins de 100 000 req/min en pointe quotidienne), sur près de 10 jours à la mi-juin 2026
Contournement des filtres : millions d'IP uniques dans tous les pays (résidentielles et hébergeurs), en-têtes HTTP et paramètres TLS randomisés, ciblage volontaire des URL en cache-miss (404, redirections 302)
Ce qui a fonctionné : cache agressif y compris sur les redirections à courte durée, empreinte TLS et score de bot combinés au rate limiting par IP, penalty box par fingerprint / ASN / domaine, règles gérées en Terraform, et un challenge plutôt qu'un blocage sec pour les faux positifs

On ne filtre plus qui appelle, mais à quoi ressemble l'appel.

Lire la fiche Source

VeilleTech — feed du jeudi 10 septembre