VeilleTech — 2026-10-01

01 SÉCURITÉ Faille

Laravel AI SDK : un fichier joint sonde votre réseau

Laravel News30 septembre2 min de lecture

Deux avis de sécurité Laravel : le Laravel AI SDK 1.0.0 allait chercher sans contrôle l'adresse d'un fichier joint fournie par le client de chat (SSRF, GHSA-6qhr-3g93-pxhw), et Laravel MCP validait mal l'adresse de redirection OAuth (GHSA-mx2h-h55v-pm44). Corrigés en 1.0.1 et 0.9.6, sans CVE attribuée : un scanner qui ne lit que les CVE ne les signale pas.

laravel/ai 1.0.0 → 1.0.1 : SSRF via les adaptateurs Vercel AI SDK et AG-UI (GHSA-6qhr-3g93-pxhw, CVSS 5.3)
laravel/mcp < 0.9.6 et 1.0.0 → 0.9.6 ou 1.0.1 : redirection OAuth mal validée (GHSA-mx2h-h55v-pm44, gravité faible)
composer update laravel/ai laravel/mcp — aucune CVE, les scanners fondés sur les CVE restent muets

Un fichier joint peut être une adresse, et une adresse peut viser votre réseau.

Lire la fiche Source

02 SÉCURITÉ Faille

OpenSSL : une faille DTLS, et la 3.0 sans correctif

The Hacker News30 septembre3 min de lecture

OpenSSL corrige CVE-2026-84782, une faille haute dans DTLS : un renvoi de message de négociation mal positionné peut envoyer de la mémoire du tas en clair à l'autre bout, ou faire planter le programme. Corrigée en 4.0.3, 3.6.5, 3.5.9 et 3.4.8 ; pour la branche 3.0, sortie du support public le 7 septembre, le correctif 3.0.23 est réservé aux clients payants.

CVE-2026-84782 (High, CVSS 8.2 selon la CISA) : corrigée en 4.0.3, 3.6.5, 3.5.9 et 3.4.8
3.0.23, 1.1.1zj et 1.0.2zs : support payant uniquement — 3.0 sans support public depuis le 07/09/2026
Ubuntu 24.04 : libssl3t64 3.0.13-0ubuntu3.16 · 22.04 : libssl3 3.0.2-0ubuntu1.30 · Debian 13 : DSA-6531-1

Si vous compilez OpenSSL 3.0 vous-même, plus personne ne le corrige gratuitement.

Lire la fiche Source

03 SÉCURITÉ Faille

Agents de code : 13 000 captures internes en public

The Hacker News30 septembre3 min de lecture

Glow a trouvé plus de 13 000 captures d'écran internes, issues de plus de 300 organisations, publiées par des agents de code dans des dépôts publics sous les comptes personnels des développeurs. Faute de pouvoir joindre une image à une pull request en ligne de commande, les agents hébergeaient les captures ailleurs, hors de la vue des équipes sécurité.

13 000+ images, 300+ organisations : facturation clients, consoles internes, fonctionnalités non sorties
À chercher : dépôts gitshot-images, releases taguées _gitshot, releases et gists des comptes personnels
gh 2.99.0 (01/09/2026) : option --attach pour joindre une image à une PR sans la rendre publique

Votre périmètre s'arrête à l'organisation GitHub. Celui de l'agent, non.

Lire la fiche Source

04 LINUX Discussion

rsync 3.5.0 : 33 CVE et des sauvegardes qui cassent

Lobsters1 octobre2 min de lecture

Debian 13 remplace rsync 3.4.1 par 3.5.0 dans ses mises à jour de sécurité, pour corriger 33 CVE d'un coup. Les correctifs changent des comportements : liens symboliques refusés dans les chemins passés en option, règles du démon qui se ferment, certificat vérifié par rsync-ssl. Des sauvegardes qui tournaient depuis des années peuvent s'arrêter.

Paquet 3.5.0+ds1-0+deb13u1 (trixie-security) à la place de 3.4.1+ds1-5+deb13u4 — 33 CVE corrigées
Nouvelle erreur « refusing to follow a symlink owned by an untrusted user » : --insecure-links (local) ou insecure links = yes (module)
rsyncd : proxy protocol sans proxy protocol hosts rejette tout ; un hosts deny non résolu bloque

Une mise à jour de sécurité peut aussi être un changement de comportement.

Lire la fiche Source

05 SYMFONY Article

Symfony 8.2 : le mode sudo redemande le mot de passe

Symfony30 septembre2 min de lecture

Symfony 8.2 ajoute un mode sudo : IS_AUTHENTICATED_RECENTLY (identifiants saisis dans les deux dernières heures) et IS_AUTHENTICATED_VERY_RECENTLY (cinq minutes) protègent les actions sensibles, et un point d'entrée de réauthentification redemande le mot de passe au lieu de renvoyer une 403. Une session tenue par un cookie remember-me ne passe jamais ces contrôles.

IS_AUTHENTICATED_RECENTLY : 2 h · IS_AUTHENTICATED_VERY_RECENTLY : 5 min — délais réglables en secondes
ReAuthenticationEntryPointInterface + option re_authentication_entry_point du pare-feu, au lieu d'une 403
OIDC : prompt=login et claim auth_time ; méthodes suivies selon la RFC 8176 (claim amr, AuthenticationMethodBadge)

Être connecté ne dit pas quand vous l'avez prouvé.

Lire la fiche Source

06 LARAVEL Article

Laravel 13.34 : un worker qui plante compte enfin

Laravel News30 septembre2 min de lecture

Laravel 13.34 permet de compter un worker tué en plein travail (mémoire, segfault, conteneur arrêté) comme une exception, ce qui arrête enfin les tâches en retryUntil qui abattent des workers en boucle. Les tâches Interruptible sont aussi prévenues par SIGALRM avant leur délai, et l'événement JobProcessed porte la durée de la tâche.

#[CountCrashesAsExceptions] avec #[MaxExceptions(n)] : un crash de worker compte comme une exception (2 appels cache par tentative)
Interruptible : interrupted(SIGALRM) appelé avant le délai, pour sauvegarder la progression
JobProcessed::$duration en ms · queue:flush --queue=nom · requireMorphMap() vérifié aussi en lecture

Un worker qui meurt n'était pas une erreur. Il peut le devenir.

Lire la fiche Source

07 DEVOPS Discussion

Netlify quitte les isolates V8 pour Firecracker

Netlify29 septembre3 min de lecture

Netlify a migré ses Edge Functions des isolates V8 d'un service d'exécution externe vers des microVM Firecracker dans son propre réseau, avec Unikraft. Médiane à chaud de 5 à 6 ms au lieu de 25 à 40 ms, isolation par déploiement, sans migration ni changement de prix ; les limites héritées des isolates restent en place pour l'instant.

Appel à chaud : ~5-6 ms (p50) contre 25-40 ms ; p99 47,4 % plus rapide ; froid : ~1,2 % des appels, ~9 ms
Une microVM par déploiement, créée en < 1 ms, restaurée depuis un snapshot, réduite à zéro au repos
Limites inchangées pour l'instant : 50 ms de CPU, 512 Mo de mémoire, 20 Mo de code compressé

Plus isolé et plus rapide à la fois : d'habitude, il faut choisir.

Lire la fiche Source

08 DOCKER Article

WSL Containers : le conteneur Linux sans Docker

heise Developer30 septembre3 min de lecture

Microsoft publie en version finale les WSL Containers : wslc, livré avec WSL 3.0.1, construit et lance des conteneurs Linux sous Windows avec une syntaxe calquée sur Docker, sans moteur séparé, et une API NuGet permet aux applications Windows de faire de même. Compose n'est pas encore pris en charge.

wsl --update → WSL 3.0.1 (29/09/2026) ; wslc run / build / container list, alias container.exe
API NuGet Microsoft.WSL.Containers (C, C#, C++) ; virtiofs environ 2× plus rapide que 9P
Intune : « Allow WSL containers access » et liste de registres autorisés ; Compose prévu, sans date

Sous Windows, un conteneur Linux ne demande plus d'installer un moteur.

Lire la fiche Source

09 CLOUDFLARE Article

Cloudflare Workers : l'erreur part à votre agent

Cloudflare30 septembre2 min de lecture

Cloudflare ouvre en bêta Issues, une surveillance des erreurs intégrée au runtime Workers : une ligne dans wrangler.jsonc, et exceptions, réponses 5xx et journaux d'erreur sont regroupés par bogue. Une automatisation peut ensuite envoyer l'incident, pile d'appels et traces comprises, à Claude Code, Cursor, Devin ou un webhook.

Activation : observability.issues.enabled à true dans wrangler.jsonc — aucun SDK à installer
Regroupe exceptions non rattrapées, 5xx, console.error, journaux avec pile d'appels et alarmes qui s'emballent
Automations : Claude Code (routine), Cursor (webhook), Devin (API), webhook générique ; au seuil ou au retour d'une erreur

L'erreur de production arrive chez l'agent avant d'arriver chez vous.

Lire la fiche Source

10 LLM Discussion

Magnitude compile ses kernels sur votre machine

magnitudedev/magnitude30 septembre2 min de lecture

Magnitude, moteur d'inférence open source (Apache 2.0) lancé sur Hacker News, compile et règle ses kernels sur la machine de l'utilisateur au lieu de livrer des binaires génériques. L'éditeur annonce un décodage 92 % plus rapide que llama.cpp sur Metal et 19 % sur CUDA — des mesures non vérifiées de façon indépendante.

Annoncé face à llama.cpp : décodage +92 % sur Metal, +19 % sur CUDA ; préremplissage +9 % et +23 %
27 % de mémoire en moins par agent ; cache de préfixe partagé entre sessions simultanées
Apache 2.0 ; macOS, Linux, Windows ; API compatible OpenAI, connexion à Codex, Claude Code, OpenCode, Cline

Deux fois plus rapide, dit la vitrine. Votre propre mesure dira le reste.

Lire la fiche Source

VeilleTech — feed du jeudi 1 octobre