VeilleTech — 2026-09-29

01 SÉCURITÉ Faille

Docker sur 2375 : Carbonato y installe un agent IA

The Hacker News28 septembre3 min de lecture

Le botnet Carbonato, décrit par ThreatDown, prend la main sur les démons Docker exposés sans authentification sur le port 2375, puis y installe Hermes Agent avec une persona réécrite qui exécute les ordres reçus par Telegram. Il se propage seul en scannant les réseaux voisins toutes les cinq minutes, et cherche d'abord les clés d'API d'IA. Un démon Docker ouvert n'a jamais été une bonne idée ; c'est désormais la porte d'entrée d'un agent autonome.

Cible : dockerd en TCP 2375 sans authentification ; conteneur privilégié, tunnel SSH inversé, cron et watchdog pour la persistance
Hermes Agent installé tel quel, `SOUL.md` remplacé par un prompt de 39 lignes (persona « GH0ST ») piloté par Telegram ; scan des réseaux voisins toutes les 5 min
À faire : aucun `-H tcp://` sans TLS, 2375 fermé au pare-feu, accès distant par SSH, rotation des clés d'API d'une machine exposée

Un démon Docker ouvert n'attend plus un humain pour être exploité.

Lire la fiche Source

02 SÉCURITÉ Faille

Azure : le secret effacé d'une issue restait lisible

The Hacker News28 septembre3 min de lecture

Microsoft détaille une attaque destructrice de juin contre un tenant Azure, attribuée à JADEPUFFER (Storm-3168) : deux service principals compromis, seize heures de repérage, puis plus de cent suppressions de comptes de stockage en sept minutes. Les identifiants du service principal avaient été publiés dans une issue GitHub, puis effacés, mais restaient lisibles dans l'historique d'édition. Seuls les verrous et la protection contre la suppression ont tenu.

Storm-3168 / JADEPUFFER : client ID, secret et tenant ID d'un service principal restés lisibles dans l'historique d'édition d'une issue GitHub publique
16 h de repérage (300+ lectures), puis 150+ opérations en 35 min, dont 100+ suppressions de comptes de stockage en 7 min
Ont tenu : verrous de ressource et protection contre la suppression du stockage ; les bases SQL, seulement par une version d'API refusée

Un secret effacé reste un secret publié.

Lire la fiche Source

03 SYMFONY Article

Symfony 8.2 : le login OpenID Connect sans bundle

Symfony28 septembre3 min de lecture

Symfony 8.2 ajoute `oidc_login`, un authenticator natif qui implémente tout le flux Authorization Code d'OpenID Connect : plus besoin de bundle tiers pour un bouton « Se connecter avec… ». Les vérifications sensibles sont actives par défaut (state, nonce, PKCE, signature JWKS, claims), le renouvellement des jetons et la déconnexion chez le fournisseur sont prévus. Attention : sans option, la déconnexion reste locale.

Nouvel authenticator `oidc_login` : flux Authorization Code complet, découverte via `.well-known/openid-configuration`, retour sur `/oidc/callback`
Par défaut : state + nonce, PKCE, signature JWKS (cache + rotation), claims iss/aud/exp/iat, HTTPS obligatoire, aucune redirection suivie
Déconnexion locale seulement : `enable_end_session` pour fermer aussi la session chez le fournisseur

Le bouton « Se connecter avec… » n'a plus besoin de dépendance.

Lire la fiche Source

04 SYMFONY Article

Symfony Reprise 1.3 : la CSP ne bloque plus le JS

Symfony28 septembre3 min de lecture

Reprise, l'intégration de Vite et Rsbuild dans Symfony, sort en 1.3.0. Sous une CSP à nonce, ses balises `modulepreload` et ses en-têtes `Link:` n'avaient pas de nonce : le navigateur les bloquait et le JavaScript ne tournait pas. C'est corrigé, comme la lecture d'un `entrypoints.json` vide pendant sa réécriture ; Stimulus se recharge aussi sans redémarrer le serveur de développement.

Sous CSP à nonce, `modulepreload` et en-têtes `Link:` sans nonce : JS bloqué ; corrigé via `reprise_entry_script_tags()` ou `script_attributes` (PR #134, #149)
`entrypoints.json` et `manifest.json` écrits par fichier temporaire puis renommage : fin des `JsonException` en pleine écriture
Stimulus pris en compte sans redémarrage (rechargement complet, pas de HMR) ; plus de boucle Rsbuild + Tailwind 4 ; `metadataPath` depuis 1.2.0

Une CSP stricte ne doit pas vous coûter tout votre JavaScript.

Lire la fiche Source

05 FRONT Article

Vinext 1.0 : Next.js sur Vite, prêt pour la prod

Cloudflare28 septembre3 min de lecture

Vinext, la réimplémentation de Next.js sur Vite lancée par Cloudflare en février, passe en 1.0 : App Router et Pages Router, Server Components, ISR et revalidation, déployables sur Workers, Netlify ou AWS Lambda. La nouveauté marquante est le cache chaud, qui rend les pages sur une version déployée à 0 % du trafic avant de la promouvoir. Les Cache Components de Next.js 16 restent partiellement couverts.

Migration : `npx vinext check && npx vinext init` ; nouveau projet : `npm create vinext-app@latest my-app`
App Router + Pages Router, RSC, Server Actions, middleware, ISR ; plus de 99 % des tests prioritaires, hors Cache Components (`use cache` partiel)
Cache chaud : version déployée à 0 % du trafic, pages rendues, puis promotion — `npx @vinext/cloudflare deploy --warm-cache`

Le cache se remplit avant que le premier visiteur arrive.

Lire la fiche Source

06 WEB Article

EmDash 1.0 : des plugins qui demandent la permission

Cloudflare28 septembre3 min de lecture

EmDash, le CMS open source de Cloudflare bâti sur Astro, passe en 1.0 sous licence MIT. Ses plugins tournent isolés, sans accès au contenu, aux secrets ni au réseau hors des capacités déclarées et approuvées, sur Cloudflare comme sur Node. Le registre, bâti sur AT Protocol, laisse chaque version signée sur le compte de son auteur et la vérifie avant installation.

EmDash 1.0, CMS Astro sous MIT : `npm create emdash@latest` ; admin, API, CLI et serveur MCP intégré
Plugins isolés (Dynamic Worker sur Cloudflare, `workerd` sur Node) : ni contenu, ni secrets, ni réseau sans capacité déclarée et approuvée
Registre sur AT Protocol : versions signées sur le compte de l'auteur ; empreinte, nom, version et accès vérifiés avant installation

Un plugin ne voit que ce qu'on lui a permis de voir.

Lire la fiche Source

07 OUTILS Article

Git 2.56 : git add --resolved refuse les marqueurs

GitHub Blog28 septembre3 min de lecture

Git 2.56 ajoute `git add --resolved`, qui n'indexe que les fichiers en conflit et refuse tout s'il reste un marqueur de conflit. La version apporte aussi le nettoyage groupé des branches fusionnées, un `git bisect run` qui se réinitialise seul, et des gains de performance nets sur le calcul des bases de fusion et plusieurs opérations à grande échelle.

`git add --resolved` : n'indexe que les chemins en conflit, et rien du tout s'il reste un marqueur
`git branch --delete-merged 'origin/*' --dry-run`, `git bisect run --reset-when-found`, `git history drop <commit>` (expérimental)
`git merge-base --all v4.8 v4.9` : de 167 441 à 3 887 étapes ; un `git diff` sur Chromium : de ~8 min à 0,07 s

Un conflit résolu à moitié ne passe plus dans l'index.

Lire la fiche Source

08 PERFORMANCE Article

LCP : le téléchargement pèse le moins, dit BEACON

Cloudflare28 septembre4 min de lecture

Cloudflare ouvre BEACON, un jeu de données anonymisé de mesures de vrais utilisateurs sur ses 10 000 plus gros sites, mis à jour chaque jour sur BigQuery. Découpé en sous-parties, le LCP montre que le téléchargement de la ressource pèse le moins : sur les pages lentes, ce sont sa découverte et le blocage du rendu qui coûtent. Les applications monopage y paient une page d'arrivée bien plus lourde.

BEACON : RUM anonymisé de 10 000 gros sites, histogrammes CWV, mis à jour chaque jour sur BigQuery (projet `cf-open-web-performance`, jeu `rumarchive`)
LCP « mauvais » : TTFB 1 891 ms, découverte 1 485 ms, téléchargement 119 ms, rendu 2 002 ms
Navigation douce P75 582 ms contre 1 421 ms en navigation complète (Blink), mais page d'arrivée à 8 940 ms au P95

Avant de compresser l'image, demandez quand le navigateur l'a trouvée.

Lire la fiche Source

09 IA Discussion

Sonnet 5.5 : même prix, et un piège sans thinking

Anthropic28 septembre3 min de lecture

Anthropic publie Claude Sonnet 5.5 au même tarif que Sonnet 5, avec une génération annoncée 30 % plus rapide et des tâches jusqu'à 30 % moins chères. La migration n'est pas neutre : qui désactive la réflexion doit passer au réglage `between_tools`, les requêtes cyber à risque basculent vers Sonnet 5, et la réflexion reste liée au compte d'origine. En effort max, le modèle peut épuiser son budget sans rien produire.

`claude-sonnet-5-5` : 2 $ / 10 $ par million de jetons (entrée / sortie), cache 0,20 $ en lecture, 2,50 $ en écriture ; Opus 5.5 à 4 $ / 20 $
Réflexion désactivée ? Passer à `between_tools` avant de migrer — SDK TypeScript `sdk-v0.129.0`, Bedrock `0.34.0`, Vertex `0.20.0`, Foundry `0.5.0`
Tâches cyber à risque redirigées vers Sonnet 5 ; en effort max, 128 000 jetons de réflexion (1,28 $) sans résultat chez Simon Willison

Même prix, moins de jetons — à condition de lire le guide de migration.

Lire la fiche Source

VeilleTech — feed du mardi 29 septembre