VeilleTech — 2026-09-20

01 SÉCURITÉ Faille

Orkes Conductor : le workflow anonyme exécute tout

The Hacker News19 septembre2 min de lecture

Une faille critique d'Orkes Conductor, CVE-2026-58138, est activement exploitée : l'API workflow accepte des définitions avant authentification, et les évaluateurs GraalVM non confinés permettent d'exécuter des commandes système avec les droits du processus. Fortinet a bloqué près de 7 000 tentatives en une semaine début septembre. La version 3.30.2 corrige.

CVE-2026-58138, CVSS v3.1 9.8 / CVSS v4 9.3 — versions 3.21.21 à 3.30.1 touchées, corrigé en 3.30.2
Vecteur : définitions de workflow inline non authentifiées, tâches INLINE, LAMBDA, DO_WHILE et SWITCH, évaluateurs GraalVM en HostAccess.ALL ou allowAllAccess(true)
Fortinet : 1 290 tentatives bloquées en 24 h le 09/09/2026 (+132 %), près de 7 000 du 02 au 09/09 ; exploitation réelle constatée dès le 21/08 (Empirical Security)

Une API qui évalue du code avant de savoir qui parle n'a pas une faille : elle a une fonctionnalité mal placée.

Lire la fiche Source

02 SÉCURITÉ Faille

SolarWinds : une clé en dur, et ARM tombe

The Hacker News19 septembre1 min de lecture

SolarWinds corrige CVE-2026-28326 dans Access Rights Manager : une clé statique codée en dur ouvre l'exécution de code à distance sans authentification, sur toutes les versions jusqu'à 2026.2. Le produit gouvernant les droits d'accès Active Directory, sa compromission porte sur tout le parc. Correctif en 2026.2.1.

CVE-2026-28326, CVSS 8.8 — Access Rights Manager 2026.2 et antérieures ; corrigé en ARM 2026.2.1, avis du 17/09/2026, chercheur Kai Huang (Armadin)
Cause : clé statique codée en dur — identique chez tous les clients, extractible du binaire, non modifiable par l'administrateur
Même vague : Serv-U corrige 16 failles (CVE-2026-28302, CVE-2026-28304 à CVE-2026-28317, CVE-2026-28321, CVE-2026-28323) ; Web Help Desk 2026.2.1 corrige un contournement SAML (CVE-2026-28323, CVSS 9.8) et un déni de service (CVE-2026-28299, CVSS 8.2)

Un secret livré à tous les clients n'est plus un secret. C'est un mot de passe par défaut avec un meilleur nom.

Lire la fiche Source

03 SÉCURITÉ Faille

170 dépôts privés copiés par un compte resté ouvert

The Hacker News19 septembre3 min de lecture

CrowdSec révèle qu'environ 170 de ses dépôts privés ont été copiés le 22 mai avec un jeton OAuth appartenant à un salarié parti, dont le poste avait été compromis par l'attaque npm sur TanStack. Le code est ressorti sur un forum le 16 septembre, avec 83 adresses d'utilisateurs et les seuils de l'algorithme de consensus.

Attaque TanStack : 84 versions malveillantes de 42 paquets npm publiées le 11/05/2026, suivies sous CVE-2026-45321 — vol de jetons GitHub, clés SSH et credentials cloud
Copie des ~170 dépôts le 22/05 via jeton OAuth ; compte retiré de l’organisation le 25/05, soit trois jours trop tard ; fuite publiée le 16/09
Exposés : 83 adresses e-mail d'utilisateurs, 51 investisseurs approchés en 2020, les seuils de l'algorithme de consensus, et une clé AWS SNS limitée à un seul topic (tentative d'usage le 17/08)

Le compte se désactive en un clic. Les jetons qu'il a émis, eux, ne le savent pas.

Lire la fiche Source

04 POSTGRES Discussion

TIN : la recherche plein texte que Postgres n’a pas

planetscale.com16 septembre3 min de lecture

PlanetScale publie TIN, une extension de recherche plein texte pour Postgres qui apporte BM25, requêtes de phrase, flou, jokers et expressions régulières dans un seul index. Les mesures de l'éditeur la donnent 25 fois plus rapide que ParadeDB sur des requêtes mixtes, et l'index se construit en 8 minutes là où GIN met plus de deux heures.

Usage : CREATE INDEX nom ON table USING tin(colonne) puis l'opérateur ==> dans le WHERE ; classement via tin.score(ctid)
Banc PlanetScale : corpus Stack Exchange 85 Go / 150 M documents, 1 719 requêtes, EC2 i7i.8xlarge, Postgres 18.6 en conteneur 8 vCPU / 32 Go
Construction de l’index : TIN 8 min 10 / 50,7 Go, ParadeDB 19 min 20 / 52,1 Go, pg_textsearch 26 min 49 / 41,5 Go, GIN 2 h 09 / 28 Go — seuls TIN et ParadeDB tiennent la limite de 32 Go de RAM

Un index plein texte ne se juge pas sur sa vitesse à vide, mais sur ce qu'il devient pendant que la table bouge.

Lire la fiche Source

05 IA Article

Batch API : 112 jobs sur 1842 jamais revenus

DEV Community20 septembre3 min de lecture

Un développeur publie le bilan de 30 jours sur l'API Batch d'Anthropic : sur 1 842 requêtes, 112 n'ont jamais donné de résultat exploitable, sans qu'aucune erreur ne remonte. La cause est un contresens sur le statut du lot, doublé d'un appariement des résultats par position alors qu'ils reviennent dans un ordre arbitraire.

Bilan 30 jours : 1 842 requêtes en 96 lots — 1 747 succès, 71 erreurs (52 overloaded_error, 14 invalid_request_error, 5 api_error), 24 expirées à 24 h, 17 tronquées sur stop_reason "max_tokens" = 6,1 % de perte silencieuse
processing_status "ended" ne dit rien du succès : lire request_counts et faire un switch exhaustif sur result.type (succeeded / errored / expired / canceled)
Latence réelle : médiane 9 min, p90 51 min, p99 6 h 20 — et facture divisée par deux, de 209 à 104 dollars

Un lot qui se termine n'est pas un lot qui a réussi. Ce sont deux phrases différentes, et une seule est vérifiable.

Lire la fiche Source

06 LLM Discussion

Un modèle local qui ne refuse plus rien

jyn.dev19 septembre3 min de lecture

Un ingénieur analyse ce que change la sortie de GLM 5.3-flash, modèle à poids ouverts exécutable sur du matériel grand public : des versions « abliterées » en retirent les refus, et une version publiée obtient 0 % au banc Harmbench-320. Sa conclusion pratique porte moins sur la découverte de failles que sur le délai de déploiement des correctifs.

GLM 5.3-flash (Z.ai, ex-Zhipu AI), poids ouverts ; version abliterée par DeAlignAI annoncée à 0 % sur Harmbench-320, le banc qui mesure le refus des tâches malveillantes
Coût d'exécution local : ~20 tokens/s sur un GPU NVIDIA à environ 6 000 $ ; Mac Studio M5, 256 Go de mémoire unifiée, annoncé pour le 22/09/2026
Le billet présente une projection, pas un fait établi : GLM accuse historiquement 3 à 6 mois de retard sur les modèles frontière, et l'abliteration dégrade d'autres capacités

Trouver une faille devient bon marché. La corriger et la déployer, non — et c'est là que se joue l'écart.

Lire la fiche Source

07 WEB Article

L’hébreu, le test qui dit si votre i18n tient

DEV Community20 septembre2 min de lecture

Le retour d'une équipe sur l'ajout de l'hébreu comme onzième langue : 1 458 clés côté serveur, dix pages qui basculent leur attribut dir, et une direction rendue côté serveur pour éviter le clignotement. L'enseignement transférable est que l'internationalisation se tient par des tests, pas par un fichier de traduction.

Inventaire : 1 458 clés serveur, 270 clés de page d'accueil, 66 clés de chat ; macOS CFBundleLocalizations = 11, installeur NSIS avec MUI_LANGUAGE déclaré avant MUI_PAGE
RTL rendu côté serveur (dir="he" ou dir="ar" dès la première réponse) pour supprimer le changement de direction au chargement ; 10 pages concernées
278 tests i18n dans une base de 3 790 tests : diff de parité des clés, et balayage des 11 langues sur 6 pages pour détecter une clé brute affichée

Une langue de droite à gauche ne traduit pas votre interface. Elle la contredit, et c'est ce qui la teste.

Lire la fiche Source

VeilleTech — feed du dimanche 20 septembre