VeilleTech — 2026-10-03

01 SÉCURITÉ Faille

FortiMail : faille exploitée, correctif pas encore là

The Hacker News2 octobre2 min de lecture

Fortinet confirme l'exploitation de CVE-2026-104286 (CVSS 9.8), une traversée de chemin combinée à un octet nul qui permet d'écrire des fichiers arbitraires sur FortiMail sans authentification. CISA l'a inscrite au catalogue KEV le 1er octobre ; les versions corrigées 7.4.9, 7.6.7 et 8.0.2 sont annoncées mais pas encore publiées, et la branche 7.2 n'aura pas de correctif.

CVE-2026-104286 · FG-IR-26-175 · touchées : 7.2.0–7.2.9, 7.4.0–7.4.8, 7.6.0–7.6.6, 8.0.0–8.0.1
Parade : config system encryption ibe / set status disable / end, et admin fermée à Internet
Indicateurs : 79.141.169.187, 45.129.0.192, /data/etc/ld.so.preload, /data/lib/liblog.so

Pas de correctif ce matin. La parade, elle, prend deux minutes.

Lire la fiche Source

02 SÉCURITÉ Faille

GitLab AI Gateway : un flux sort du bac à sable

The Hacker News2 octobre2 min de lecture

GitLab corrige CVE-2026-90970 (CVSS 9.9) : un utilisateur ayant accès à la Duo Agent Platform pouvait, par la configuration d'un custom flow, sortir du bac à sable des modèles de prompt et exécuter des commandes sur l'AI Gateway. Seules les passerelles auto-hébergées sont concernées ; les versions 19.2.4, 19.3.2 et 19.4.1 corrigent, et rien n'est annoncé sous la 19.2.

CVE-2026-90970 · CVSS 9.9 · CWE-1336 · exploitation : aucune connue au 2 octobre
Touchées : 18.1.6 à < 19.2.4, 19.3 < 19.3.2, 19.4 < 19.4.1 — corrigées : 19.2.4, 19.3.2, 19.4.1
Docker : tag self-hosted-v19.4.1-ee ; Helm : nouveau tag d'image dans le chart

Une passerelle IA est un serveur comme un autre. Elle se met à jour comme un autre.

Lire la fiche Source

03 SÉCURITÉ Faille

Un faux client, une branche NDA et un hook Git piégé

FrankWiles.com2 octobre1 min de lecture

Frank Wiles (REVSYS) a reçu une fausse demande de projet : le « prospect » partageait sur Dropbox un dossier de spécifications contenant un répertoire .git, et demandait de basculer sur la branche NDA pour signer l'accord. Un hook post-checkout y téléchargeait puis lançait un binaire depuis une application Vercel. git clone ne transfère jamais les hooks, mais un dossier .git copié tel quel les emporte.

Déclencheur : git checkout NDA → .git/hooks/post-checkout
Charge : binaire propre à l'OS, servi par une app Vercel, exécuté puis effacé
Parade : git clone du dossier reçu, ou git -c core.hooksPath=/dev/null checkout

Le contrat était dans la branche. Le piège aussi.

Lire la fiche Source

04 SYMFONY Article

Symfony 8.2 : API plus rapides, et les 4xx en warning

Symfony2 octobre3 min de lecture

Nicolas Grekas a profilé Symfony Demo et une API, et transformé chaque constat en pull request : listes sérialisées 14 à 24 % plus rapides, POST de production 4 à 5 % plus rapides, POST de développement jusqu'à 38 %. Un changement de comportement accompagne la série : les réponses 4xx sont journalisées en warning et plus en error, ce qui ne déclenche plus fingers_crossed et peut faire taire des alertes.

Serializer : listes de 150 à 900 objets 14 à 24 % plus rapides (PR #66383)
4xx journalisées en warning, plus en error (PR #66391) : relire les alertes
Traduction modifiée en dev : 790 ms → 85 ms, conteneur non reconstruit (PR #66332)

Plus rapide sans rien changer. Sauf vos alertes, à relire.

Lire la fiche Source

05 LARAVEL Article

Inertia 3.8 : vos ID 64 bits ne sont plus arrondis

Laravel News2 octobre2 min de lecture

Inertia.js 3.8 transmet les entiers au-delà de Number.MAX_SAFE_INTEGER sans les arrondir : avec inertia-laravel 3.5.0 et l'option preserve_big_integers, ils arrivent côté client en BigInt. La version ajoute WhenMounted pour le code navigateur sous SSR, transmet enfin les callbacks d'erreur du composant Form, et ne restaure plus une page d'avant déploiement.

Option : preserve_big_integers, INERTIA_PRESERVE_BIG_INTEGERS ou ->preserveBigIntegers()
Requiert inertia-laravel v3.5.0 : 900719925474099988 n'arrive plus en 900719925474100000
WhenMounted : rendu navigateur seul sous SSR, enfants en fonction côté React

Un ID arrondi ne lève pas d'erreur. Il pointe juste ailleurs.

Lire la fiche Source

06 CLOUDFLARE Article

Cloudflare Quick Tunnels : l'accès réservé par e-mail

Cloudflare2 octobre2 min de lecture

Depuis cloudflared 2026.9.3, l'option --allowed-mail réserve un Quick Tunnel aux adresses ou domaines listés : le visiteur prouve son adresse par un code à usage unique de Cloudflare Access, et cloudflared décide localement. Aucun compte n'est nécessaire, la liste ne quitte pas la machine, et un tunnel protégé ne retombe jamais en mode public.

cloudflared tunnel --url http://localhost:8080 --allowed-mail you@example.com
Option répétable, joker '*@example.com' ; session de 4 h au plus
Wrangler : npx wrangler tunnel quick-start … --allowed-mail …

Un lien de démo n'a pas besoin d'être public pour être pratique.

Lire la fiche Source

07 OUTILS Article

Lightpanda 1.0 : le navigateur headless active CORS

heise Developer2 octobre1 min de lecture

Lightpanda, navigateur headless écrit en Zig pour les crawlers, les tests et les agents, passe en 1.0.0. Le changement à surveiller : CORS est appliqué par défaut, et des requêtes cross-origin qui passaient sont désormais bloquées (--disable-features cors pour revenir en arrière). Le WebDriver classique devient utilisable pour les parcours courants.

CORS actif par défaut ; retour arrière : --disable-features cors
--experimental-features cors supprimé ; redirections avec identifiants limitées
WebDriver : sessions, navigation, JS, clics, saisie, cookies, viewport

Un navigateur pour machines se comporte enfin comme un navigateur.

Lire la fiche Source

08 LLM Discussion

ds4 : un MoE de 284 milliards sur un Mac de 128 Go

DwarfStar 4 (ds4)2 octobre2 min de lecture

ds4 (DwarfStar 4), moteur d'inférence en C sous licence MIT, fait tourner DeepSeek V4 Flash — 284 milliards de paramètres en mélange d'experts — sur une machine de 128 Go grâce à une quantification asymétrique 2 bits et à un cache KV persistant sur SSD. Il cible volontairement peu de modèles, et son serveur expose des API compatibles OpenAI et Anthropic.

git clone https://github.com/antirez/ds4 · ./download_model.sh ds4f-q2 · make
M5 Max 128 Go, q2 : 39,4 t/s en génération à 2 048 jetons, 27,6 t/s à 65 536
./ds4-server --ctx 100000 : API OpenAI et Anthropic (Claude Code, Codex, OpenCode)

Un modèle de frontière sur un bureau. Au prix de deux bits par expert.

Lire la fiche Source

09 IA Article

AstaBrief : un 8B spécialisé, et le filtre qui a payé

Hugging Face2 octobre3 min de lecture

Ai2 publie les poids et les données d'AstaBrief 8B, un Qwen3-8B affiné par SFT puis DPO pour rédiger des rapports scientifiques cités. Le résultat le plus transposable porte sur les données : parmi quatre filtres testés sur les exemples synthétiques, écarter ceux à faible densité de citations a le plus aidé, et les combinaisons plus élaborées n'ont rien ajouté. Évaluations conduites en 2025, par l'équipe elle-même.

Base Qwen3-8B · SFT sur 47 000 exemples, DPO sur 6 000 paires validées par deux juges
Filtre retenu : densité de citations ; ratio de jetons, pertinence et diversité testés
51,1 s par rapport contre 178,5 s · poids : huggingface.co/allenai/AstaBrief_8B

Le filtre qui a payé était le plus simple des quatre.

Lire la fiche Source

10 ZIG Discussion

Zig 0.17 : @cImport disparaît, ZLS ne suit pas encore

ziglang.org2 octobre2 min de lecture

Zig 0.17.0 (5 mois, 206 contributeurs, 925 commits) sépare l'exécution de build.zig du processus qui construit, ce qui accélère zig build mais casse ZLS pour l'instant. La compilation incrémentale devient utilisable sur la plupart des projets x86_64-linux. @cImport est supprimé au profit du paquet translate-c, et la nouvelle sémantique de @bitCast peut casser du code sans erreur de compilation.

zig build -fincremental --watch : incrémental sur x86_64-linux
@cImport supprimé → zig fetch --save git+https://codeberg.org/ziglang/translate-c
@bitCast sur tableaux et vecteurs : sens modifié, rupture possible sans erreur

La rupture la plus dangereuse est celle qui compile.

Lire la fiche Source

VeilleTech — feed du samedi 3 octobre