VeilleTech — 2026-10-07

01 SÉCURITÉ Faille

Atlassian : huit produits livrent leurs fichiers

The Hacker News6 octobre3 min de lecture

Atlassian a publié le 5 octobre CVE-2026-21589 (CVSS 9.3) : une traversée de chemin qui permet, sans authentification, de lire des fichiers du répertoire racine de l'application web dans huit produits Data Center auto-hébergés. L'attaquant doit connaître le chemin exact du fichier. Le cloud est déjà corrigé ; les instances auto-hébergées doivent être mises à jour, ou coupées d'Internet en attendant.

CVE-2026-21589 · CVSS 9.3 · Bitbucket, Confluence, Jira Software, JSM, Bamboo, Crowd, Crucible, Fisheye (Data Center)
Corrigé : Jira 9.12.40 / 10.3.26 / 11.3.12 · Confluence 9.2.26 / 10.2.19 · Bitbucket 9.4.26 / 10.2.8 / 10.5.1
En attendant : bloquer « .. » collé à /, \ ou :: (même encodé) au proxy · journaux décodés deux fois

Pas de compte, juste le bon chemin. Vérifiez vos versions aujourd'hui.

Lire la fiche Source

02 RÉSEAU Article

DNSSEC : la clé racine change le 11 octobre

Cloudflare6 octobre3 min de lecture

Le 11 octobre 2026, la racine du DNS signe avec une nouvelle clé, KSK-2024 (key tag 38696), qui remplace KSK-2017 (20326). Un résolveur DNSSEC validant qui n'a pas appris cette nouvelle ancre de confiance renverra SERVFAIL, quel que soit le domaine demandé. Cloudflare publie un test fondé sur la RFC 8509 pour vérifier son résolveur avant la date.

11 octobre 2026 : KSK-2024 (tag 38696) remplace KSK-2017 (tag 20326) · publiée depuis le 11/01/2025
dig root-key-sentinel-is-ta-38696.dnstest.dev → réponse = prêt · SERVFAIL = ancre manquante
Test navigateur : dnstest.dev/ksk-2024 · 1.1.1.1 et le DNS Cloudflare sont déjà prêts

Une clé change, et tout Internet peut disparaître. Testez avant dimanche.

Lire la fiche Source

03 SÉCURITÉ Faille

LibreOffice : un tableur exécute du Java sans alerte

The Hacker News6 octobre2 min de lecture

Un tableur Calc piégé fait exécuter du code Java à LibreOffice et à Apache OpenOffice dès l'ouverture, sans l'avertissement des macros, en enchaînant plage de base de données, fichier ODB distant et pilote JDBC téléchargé. LibreOffice a corrigé CVE-2026-63277 en 26.2.5 et 26.8.0 ; OpenOffice (CVE-2026-59265) reste vulnérable jusqu'à la 4.1.17. L'attaque exige que Java soit activé.

LibreOffice · CVE-2026-63277 · corrigé en 26.2.5 et 26.8.0 (5 octobre)
Apache OpenOffice · CVE-2026-59265 · tout ≤ 4.1.16 touché · correctif attendu en 4.1.17
Condition : Java activé · parade sous OpenOffice : désactiver Java dans les options

Pas de macro, pas d'alerte. Juste un tableur qui va chercher son pilote.

Lire la fiche Source

04 SYMFONY Article

Symfony 8.2 : l'ordre des listeners se dit par nom

Symfony6 octobre2 min de lecture

Symfony 8.2 ajoute les options before et after pour placer un listener ou un service tagué par rapport à un autre, désigné par son identifiant ou sa classe, au lieu de deviner une priorité. Les décorateurs gagnent within et around. L'ordre est résolu à la compilation du conteneur, et les contraintes impossibles y échouent.

before / after : listeners et services tagués · ID de service, classe ou liste · suffixe ::méthode
within / around pour les décorateurs · fonctionne aussi avec #[AsTagDecorator]
Résolu à la compilation · cible absente ignorée · cycle ou méthode invalide = erreur

Plus de priorité à deviner : on nomme celui qu'on veut doubler.

Lire la fiche Source

05 RÉSEAU Article

NTS : une ligne de chrony pour une heure authentifiée

Meta Engineering6 octobre3 min de lecture

Meta ouvre son service de temps public en NTS (Network Time Security, RFC 8915) sur nts.meta.com : les paquets NTP sont authentifiés, ce qui empêche un attaquant placé sur le chemin de falsifier l'heure. Une ligne suffit dans chrony. L'enjeu grandit avec la baisse de durée des certificats TLS, renouvelés automatiquement sur la foi de l'horloge locale.

chrony : pool nts.meta.com nts iburst maxsources 5 · vérifier avec chronyc authdata
NTS-KE en TLS 1.3 sur TCP 4460 · puis NTPv4 authentifié sur UDP 123
Certificats TLS : 200 j (mars 2026) → 100 j (mars 2027) → 47 j (mars 2029)

Vos certificats font confiance à votre horloge. À qui fait-elle confiance ?

Lire la fiche Source

06 IA Discussion

EmbeddingGemma 2 : texte, image et audio, en local

Google6 octobre2 min de lecture

Google DeepMind publie EmbeddingGemma 2, un modèle d'embeddings de 740 millions de paramètres sous Apache 2.0 qui place texte, code, images, audio et vidéo dans un même espace vectoriel. Conçu pour tourner en local, il produit des vecteurs tronquables de 768 à 128 dimensions et accepte 8K jetons de contexte. Ollama 0.40, sorti le même jour, l'exécute sur MLX par défaut sur Apple Silicon.

740M paramètres · Apache 2.0 · texte seul dès 270M (+170M vision, +300M audio)
Vecteurs 768 → 512, 256 ou 128 dim (MRL) · contexte 8K · MTEB Code 68,76 → 78,68
ollama pull embeddinggemma-2 · Ollama 0.40 : MLX par défaut sur Apple Silicon

Une phrase pour retrouver un son. Sur votre machine, sans API.

Lire la fiche Source

07 OUTILS Discussion

OSC 7501 : le programme dit au terminal où il en est

Mitchell Hashimoto6 octobre3 min de lecture

Mitchell Hashimoto propose OSC 7501, une séquence d'échappement par laquelle un programme indique à son terminal s'il travaille, a fini, a échoué ou attend l'utilisateur, et pourquoi. Pensé avec les agents de code en tête mais générique, le protocole passe par le pty, donc à travers SSH et les conteneurs, et s'émet en une ligne de shell. Il est implémenté dans libghostty et Rex.

ESC ] 7501 ; state=…:msg=<base64> ESC \ · états idle, working, done, blocked, error
blocked précise kind=permission, question ou auth · ids hiérarchiques · clear pour effacer
Implémenté : libghostty (#14560) et Rex · preuves de concept Terraform, Claude Code, Codex, Homebrew

Le programme sait où il en est. Il peut enfin le dire.

Lire la fiche Source

VeilleTech — feed du mercredi 7 octobre