VeilleTech — 2026-09-25

01 SÉCURITÉ Faille

WordPress : la faille du template est exploitée

The Hacker News24 septembre2 min de lecture

CVE-2026-87902, la faille de WordPress présentée ici le 23 septembre, est exploitée depuis le 22, le jour même du correctif. Les attaquants passent par pearcmd.php pour écrire un fichier PHP dans /tmp, puis chargent un script d'envoi de fichiers depuis GitHub. Mettre à jour ne suffit plus : il faut aussi chercher les traces.

CVE-2026-87902 (CVSS 9,2) exploitée depuis le 22/09, 11:49 UTC — corrigée en 7.1.2, 7.0.6, 6.9.9 et 6.8.10
Chaîne observée : /usr/local/lib/php/pearcmd.php → fichier écrit dans /tmp → uploader.php tiré de GitHub
À chercher dans /tmp et /var/tmp : wp-pear-rce-flag.php, poc87902.php, luci_*.php, zeta_*.php

Un correctif appliqué ne dit rien de ce qui est passé avant.

Lire la fiche Source

02 PHP Article

PHP : onze failles corrigées sur quatre branches

PHP.net24 septembre3 min de lecture

PHP 8.5.11, 8.4.26, 8.3.35 et 8.2.34, publiées le 24 septembre, corrigent onze failles communes aux quatre branches, douze pour 8.3 et 8.2. Deux touchent tout appel HTTPS passé par les flux natifs : la vérification du nom dans le certificat et la fuite d'identifiants lors d'une redirection. Le journal ne donne aucun score de gravité.

Versions corrigées (24/09) : 8.5.11 · 8.4.26 · 8.3.35 · 8.2.34 — rien pour 8.1, branche close
Flux HTTPS : repli sur le CN après échec du SAN (CVE-2026-91769) · identifiants transmis sur redirection (CVE-2026-91766)
PHP-FPM : listen.allowed_clients contourné en IPv6 (CVE-2026-91768) · Phar : entrées TAR injectées (CVE-2026-6103)

Quatre branches, un seul jour : c'est le signal.

Lire la fiche Source

03 SÉCURITÉ Faille

third-party.com : le domaine d'exemple est piégé

The Hacker News24 septembre2 min de lecture

third-party.com, domaine d'exemple courant dans les docs, n'a jamais été réservé : il sert désormais un piège ClickFix aux visiteurs Windows. Manifold Security le trouve dans plus de 1 700 dépôts publics, dont des skills d'agents et des docs de serveurs MCP, et a relevé treize autres domaines factices dans le même cas.

third-party.com n'est pas réservé par l'IANA : piège ClickFix pour Windows depuis au moins juin 2026
Cité dans plus de 1 700 dépôts publics, dont des skills d'agents et des docs de serveurs MCP
Seuls example.com, example.org et example.net sont réservés — les 13 autres domaines relevés sont listés dans la fiche

Un exemple qui résout, c'est déjà une adresse.

Lire la fiche Source

04 SÉCURITÉ Faille

ansi2html : une ligne de log vole le compte

Arusekk blog23 septembre2 min de lecture

ansi2html, bibliothèque Python qui convertit les couleurs de terminal en HTML, n'échappait pas les liens OSC 8. Sur builds.sr.ht, la CI de SourceHut, une ligne de log suffisait à exécuter du JavaScript chez chaque visiteur, avec son jeton CSRF et ses clés de déploiement. Corrigé dans ansi2html 1.9.4 et builds.sr.ht 0.105.1, après quatre ans et demi d'exposition.

Touché : ansi2html ≥ 1.7.0 et < 1.9.4 · builds.sr.ht ≥ 0.40.0 et < 0.105.1
Vecteur : lien OSC 8 non échappé dans un log de build → XSS stockée, sans compte, via un patch sur liste publique
Traces dans les logs bruts : séquence ESC ]8;; suivie d'un guillemet ou de javascript:

Colorer un log, c'est déjà l'interpréter.

Lire la fiche Source

05 CLOUDFLARE Article

Cloudflare : un disque neuf, les données d'un autre

Cloudflare24 septembre3 min de lecture

Signalée le 4 septembre par Oren Yomtov (Accomplish), une faille de Cloudflare Containers laissait un client relire des blocs de disque libérés par d'autres : le pool dm-thin ne remettait pas à zéro les blocs réattribués. Cloudflare a corrigé toute la flotte et ne voit aucune exploitation ; la leçon vaut pour quiconque partage des volumes thin entre locataires.

Cause : pool dm-thin configuré avec skip_block_zeroing — blocs de 64 Kio réattribués sans remise à zéro
Mesuré : résidus sur 18 placements sur 24 et 20 nœuds sur 22 — pages de base, SQLite complets
Corrigé du 4 au 7/09, nettoyage fini le 19/09 · chez vous : dmsetup table | grep skip_block_zeroing

Supprimer ne suffit pas : il faut aussi effacer.

Lire la fiche Source

06 SYMFONY Article

Symfony 8.2 : le suivi d'e-mail, message par message

Symfony24 septembre2 min de lecture

Symfony 8.2 ajoute RemoteTemplateEmail, qui envoie un modèle conçu dans l'éditeur du fournisseur au lieu d'un gabarit Twig, et TrackingHeader, qui règle le suivi des ouvertures et des clics e-mail par e-mail. Une option tracking coupe le suivi par défaut, utile quand il dépend du consentement de chaque destinataire.

RemoteTemplateEmail : Amazon SES, Brevo, MailerSend, Mailgun, Mailjet, Mailtrap, Mandrill, Postmark, Resend, SendGrid
TrackingHeader : AhaSend, Azure, Brevo, Infobip, Mailchimp, MailerSend, Mailgun, Mailjet, Postmark, SendGrid
Option tracking : suivi coupé par défaut — ailleurs, l'en-tête part en X-Track, sans effet

Le consentement se règle au message, pas au compte.

Lire la fiche Source

07 LARAVEL Article

Laravel 13.33 : les colonnes calculées enfin à jour

Laravel News24 septembre2 min de lecture

Laravel 13.33 ajoute l'attribut #[Refreshes] : Eloquent relit les colonnes calculées par la base (storedAs, virtualAs, triggers, valeurs par défaut) après chaque insertion ou mise à jour, avant les événements du modèle. Plus besoin d'appeler refresh(), qui recharge toute la ligne et les relations.

#[Refreshes('total')] ou protected array $refreshes : relit ces colonnes après chaque INSERT et UPDATE
Relecture avant created/updated : wasChanged('total') et getChanges() voient la valeur calculée
Coût : 1 SELECT par écriture, sur la connexion d'écriture, scopes globaux ignorés, ModelNotFoundException si la ligne a disparu

La base a calculé. Le modèle le sait enfin.

Lire la fiche Source

08 DOCKER Article

Docker : les droits d'un agent tiennent dans une image

Docker24 septembre3 min de lecture

Docker publie la Sandbox Kit Specification v3 : les droits d'un agent (domaines, méthodes HTTP, identifiants, volumes) sont déclarés dans une annotation d'image OCI ordinaire, versionnée et signable. Tout élargissement de droits bloque la mise à jour. Seul Docker Sandboxes applique la spécification aujourd'hui.

Sandbox Kit Spec v3 (Apache 2.0) : github.com/docker/sandbox-kit-spec — un Kit est une image OCI
Droits déclarés dans l'annotation vnd.docker.sandbox.kit.descriptor : réseau, identifiants, volumes — deny l'emporte
Seul runtime conforme : Docker Sandboxes · essai : brew install docker/tap/sbx

Une permission qu'on ne peut pas relire, on ne la retire jamais.

Lire la fiche Source

09 LLM Article

vLLM tatoue le texte sans changer la distribution

vLLM24 septembre3 min de lecture

vLLM sait tatouer les textes générés avec la méthode Gumbel-max : le tirage de chaque token devient pseudo-aléatoire, dérivé d'une clé secrète et du contexte, sans changer la distribution de sortie. La détection ne demande que la clé et le tokenizer ; le surcoût mesuré sur un H100 tient dans ±2 %.

vllm serve <modèle> --watermark-config '{"algorithm":"gumbel","key":42}' — détection : clé + tokenizer, sans les poids
Qwen3.5-27B sur un H100 : débit de −1,1 % à +2,0 % selon le batch · dédoublonnage des contextes ≤ 0,19 %
À 1 % de faux positifs : ~100 % détecté dès 100 tokens en texte créatif, ~69 % à 400 tokens sur du code (MBPP)

Signer un texte sans y toucher : c'est tout l'enjeu.

Lire la fiche Source

VeilleTech — feed du vendredi 25 septembre