VeilleTech — 2026-10-02

01 SÉCURITÉ Faille

WordPress : huit copies, et la porte dérobée revient

The Hacker News1 octobre3 min de lecture

Sucuri documente SC, une porte dérobée WordPress répartie dans au moins huit emplacements — .user.ini, db.php, advanced-cache.php, thème, mu-plugins, base de données, mémoire partagée System V — dont chacun reconstruit les autres : nettoyer les fichiers ne suffit pas, la requête suivante restaure tout. En parallèle, une injection SQL sans authentification dans wpForo (CVE-2026-1581, jusqu'à 2.4.14 incluse) est exploitée.

Chargeurs : .user.ini (auto_prepend_file), wp-content/c1b12371.php et .c1b12371.php, wp-content/db.php, wp-content/advanced-cache.php
Copies : themes/khorshidi/functions.php, mu-plugins/hyper-engine-kit.php, plugins/hyper-engine-kit/ — plus la base et un segment de mémoire partagée
wpForo ≤ 2.4.14 : CVE-2026-1581, injection SQL sans authentification, CVSS 7.5, exploitée depuis le 3 juillet

Un fichier supprimé n'est pas une infection supprimée.

Lire la fiche Source

02 SYMFONY Article

Symfony 8.2 : un nom de champ par version d'API

Symfony1 octobre2 min de lecture

Symfony 8.2 assouplit les groupes de sérialisation : #[SerializedName] et #[SerializedPath] acceptent un argument groups, deux options de contexte excluent des groupes ou appliquent les groupes implicites du Validator, et les contrôleurs comme Messenger peuvent choisir un sérialiseur nommé. Un champ renommé en v2 n'exige plus un second DTO, et régler le sérialiseur de l'API ne change plus le format des messages.

#[SerializedName] et #[SerializedPath] répétables, avec groups: ['api_v1'] ; sans groups, valeur de repli
Contexte : ignored_groups (withIgnoredGroups()) et enable_default_groups (Default + nom de la classe)
Sérialiseur nommé pour #[MapRequestPayload], #[MapQueryString], #[Serialize] et Messenger ; les 422 restent sur le défaut

Un champ renommé ne justifie plus un second DTO.

Lire la fiche Source

03 LARAVEL Article

Laravel 14 : les valeurs par défaut lisent la config

Laravel News1 octobre2 min de lecture

Laravel 14 ajoute à Eloquent une méthode defaults() qui renvoie les valeurs par défaut des attributs depuis du code : config(), now() ou un feature flag deviennent utilisables, ce que la propriété $attributes interdit. Elle tourne à chaque construction de modèle, renvoie des valeurs brutes, et sera appelée sur toute méthode defaults() déjà présente dans vos modèles.

Priorité : $attributes, puis defaults(), puis les valeurs passées à new, create() ou fill()
Valeurs brutes, sans cast : json_encode() pour une colonne castée en array ; appelée pour chaque ligne chargée
Avant la montée de version : grep -rn "function defaults" app/Models — PR #61688, peut encore changer

Une méthode qui porte le bon nom sera appelée, qu'elle le veuille ou non.

Lire la fiche Source

04 FRONT Discussion

SvelteKit 3 : #lib remplace $lib, la config va à Vite

svelte.dev1 octobre1 min de lecture

SvelteKit 3 est disponible. Peu de nouveautés visibles, mais deux ruptures touchent presque tous les projets : la configuration passe de svelte.config.js à vite.config.ts, et l'alias $lib devient #lib, sur la base des subpath imports de Node. La commande sv migrate automatise l'essentiel ; les remote functions ne sont pas encore prêtes.

npx sv migrate sveltekit-3 --tasks all --confirm — migre ce qu'il peut, liste le reste
svelte.config.js → vite.config.ts ; $lib → #lib (subpath imports de Node)
Remote functions : pas prêtes, elles exigent Async Svelte, derrière un drapeau expérimental

Une version majeure qui se migre en une commande, à condition de lire la liste.

Lire la fiche Source

05 MCP Article

MCP : 7 % des serveurs parlent la révision de juillet

DEV Community2 octobre3 min de lecture

La révision MCP 2026-07-28 supprime la poignée de main initialize et l'en-tête Mcp-Session-Id, et ajoute server/discover. Un recensement indépendant (Pennyforge) montre que 8 serveurs distants sur 109 qui répondent acceptent ce nouvel appel, et que les serveurs npm les plus connus parlent encore la révision 2025-06-18. Un client limité à la nouvelle révision perdrait l'essentiel de l'écosystème sans voir d'erreur.

2026-07-28 : plus d'initialize ni de Mcp-Session-Id ; server/discover et UnsupportedProtocolVersionError
server-filesystem 0.2.0, server-everything 2.0.0, context7, tavily-mcp, playwright-mcp : 2025-06-18, −32601 sur server/discover
Tester un serveur : demander la version la plus haute ; écho = parlée, réponse plus basse = plafond

Une migration de protocole ne casse rien. Elle rend invisible.

Lire la fiche Source

06 IA Discussion

Clef : des modèles de décision en Apache 2.0

Cloudflare Blog1 octobre2 min de lecture

Cloudflare publie Clef et Clef-flash, deux modèles de décision qui renvoient des probabilités sur des questions typées (oui/non, choix, score) au lieu de générer du texte. Poids ouverts sous Apache 2.0 sur Hugging Face, API compatible Jev, hébergement sur Workers AI. Latence médiane annoncée : 209 ms et 39 ms, contre 524 ms pour Jev — des chiffres de l'éditeur.

Poids : huggingface.co/Cloudflare/clef et Cloudflare/clef-flash (Apache 2.0) ; @cf/cloudflare/clef sur Workers AI
Qwen gelé (27 B pour Clef, 9 B pour Clef-flash) + LoRA de rang 256 ; une passe de prefill, choix notés en parallèle
Médiane 209,3 ms et 38,8 ms (Jev : 524,1 ms) ; vision, 64k de contexte ; bancs publiés par Cloudflare

Pour choisir entre trois réponses, inutile d'en écrire une.

Lire la fiche Source

07 CLOUDFLARE Discussion

Cloudflare K2 : un journal d'événements bâti sur R2

Cloudflare Blog1 octobre2 min de lecture

Cloudflare ouvre en bêta publique K2, un flux d'événements durable et sans serveur, construit comme un journal partitionné sur le stockage objet R2. Lecture par souscriptions avec des baux de cinq minutes, rétention longue à bas coût, mais environ une seconde de latence d'écriture au p99. Gratuit pendant la bêta, dans la limite de 10 Go et 30 Mo/s par flux.

cf k2 streams create --name app_events --http-enabled ; production par binding Worker ou HTTP
Lots loués 5 min : ack, nack ou extend ; une souscription par consommateur = pub/sub
Bêta (Workers Paid) : 10 Go, 30 Mo/s par flux, ~1 s au p99 ; prévu : 0,04 $/Go écrit ou lu, 0,02 $/Go/mois

Une seconde de latence, et un cluster Kafka de moins à garder en vie.

Lire la fiche Source

08 DUCKDB Article

DuckDB : grouper sur un entier, pas sur la chaîne

DuckDB2 octobre3 min de lecture

L'équipe DuckDB détaille pourquoi un GROUP BY sur des chaînes longues et répétées coûte cher — hachage et comparaison octet par octet, copie dans la table de hachage — et recommande une table de dimension : chaque valeur reçoit un petit entier trié, l'agrégation se fait sur l'entier, les chaînes reviennent par jointure à la fin. Le motif entre dans le guide de performance officiel.

Chaînes ≤ 12 octets stockées en ligne ; au-delà, préfixe + pointeur, et un coût qui suit la longueur
Clé triée et étroite : (row_number() OVER (ORDER BY station_name))::USMALLINT pour 537 valeurs ; UTINYINT ≤ 255
Groupes très nombreux : la mémoire tend vers threads × groupes, SET threads réduit la duplication

Le texte se lit à la fin. Le calcul se fait sur des entiers.

Lire la fiche Source

09 POSTGRES Article

Aurora PostgreSQL lit vos Parquet S3 via DuckDB

heise Developer1 octobre2 min de lecture

Aurora PostgreSQL peut désormais interroger des tables Apache Iceberg et des fichiers Parquet sur S3 dans la même requête que ses propres tables, sans copie, via des tables étrangères et un moteur DuckDB embarqué. Il faut Aurora PostgreSQL 17.11 ou 18.6 au minimum, l'extension aurora_analytics et un rôle IAM dédié ; la fonction est gratuite, pas le calcul ni les lectures S3.

Aurora PostgreSQL ≥ 17.11 ou ≥ 18.6, Serverless v2 compris ; rôle IAM avec la fonction AuroraAnalytics
Extension aurora_analytics ; tables étrangères, IMPORT FOREIGN SCHEMA ; Glue, S3, S3 Tables, Iceberg REST via Glue
aurora_analytics_stat_statements() : octets lus sur S3, succès du cache ; lectures sur writer et réplicas

L'historique peut rester sur S3. C'est la requête qui va le chercher.

Lire la fiche Source

10 RUST Discussion

Rust 1.99 : des fonctions variadiques écrites en Rust

blog.rust-lang.org1 octobre1 min de lecture

Rust 1.99 permet de définir des fonctions variadiques à l'ABI C — jusqu'ici Rust ne savait que les appeler — avec un paramètre ... de type VaList. La documentation de Box::leak déconseille désormais de libérer plus tard une mémoire fuitée, au profit de Box::into_raw ou Box::into_non_null. Dix-sept API sont stabilisées, dont Vec::into_parts et std::fs::set_times.

unsafe extern "C" fn sum(mut args: ...) -> i32 ; lecture par args.next_arg::<T>(), types bornés par VaArgSafe
Box::leak puis libération : déconseillé ; préférer Box::into_raw ou Box::into_non_null
rustup update stable ; stabilisés : Vec::into_parts / from_parts, std::fs::set_times, String::from_utf8_lossy_owned

Écrire printf en Rust devient possible. Vérifier l'appelant, toujours pas.

Lire la fiche Source

VeilleTech — feed du vendredi 2 octobre