VeilleTech — 2026-10-09

01 SÉCURITÉ Faille

CISA : huit vieilles failles exploitées, dont Strapi

CISA8 octobre3 min de lecture

Le FBI, la CISA, la NSA et les agences de six autres pays publient l'avis AA26-281A sur des attaquants outillés par Integrity Technology Group, une activité qui recoupe Flax Typhoon. Ils exploitent avec succès huit CVE anciennes, de Bash en 2014 à Strapi en 2023, dont cinq entrent au catalogue KEV. L'avis décrit aussi un bot PHP qui aspire les boîtes Exchange, avec chemins et chaînes à chercher, et livre ses indicateurs en STIX.

8 CVE : 2014-6278 Bash · 2015-3306 ProFTPD · 2015-5477 BIND · 2016-3081 Struts · 2019-11510 Pulse · 2021-22205 GitLab · 2021-3199 ONLYOFFICE · 2023-22894 Strapi
Strapi CVE-2023-22894 : ≤ 4.5.5 selon la CISA, ≤ 4.7.1 selon le chercheur · corrigé en 4.8.0
Bot PHP Curlc4 : natcloudservice[.]com · 149.28.132[.]137 · /var/tmp/.sess.zip · storage/fm/.run

Pas besoin d'une faille neuve. Votre vieux Strapi suffit.

Lire la fiche Source

02 DEVOPS Discussion

Let's Encrypt : 64 jours dès le 10 février 2027

Let's Encrypt8 octobre2 min de lecture

Let's Encrypt passe tous ses certificats à 64 jours le 10 février 2027, et son environnement de test dès le 14 octobre 2026. Les renouvellements calés sur une date fixe — 30 jours avant expiration, tous les 60 jours — sont ceux qui vont casser ; un client compatible ARI n'a rien à faire. La réutilisation d'une validation de domaine passe de 30 à 10 jours.

10/02/2027 : 64 jours par défaut · dernier certificat de 90 jours expiré vers le 11/05/2027
Staging en 64 jours dès le 14/10/2026 · réutilisation d'autorisation 30 → 10 jours
Renouveler aux ⅔ de la durée · chercher 83, 80 et 60 dans crons et scripts · 45 jours le 16/02/2028

Votre cron de soixante jours a quatre mois pour apprendre à compter.

Lire la fiche Source

03 SYMFONY Article

Symfony 8.2 : EntityExists, Cron et Audio

Symfony8 octobre2 min de lecture

Symfony 8.2 ajoute trois contraintes au Validator : EntityExists vérifie qu'un identifiant reçu dans un DTO correspond bien à une entité, Cron valide une expression avec un vrai analyseur, et Audio contrôle durée, débit, canaux ou codec d'un fichier. Deux pièges : EntityExists laisse passer null et la chaîne vide, et Audio exige ffprobe sur le serveur.

EntityExists : recherche par identifiant ou via repositoryMethod · null et '' valides → ajouter NotBlank
Cron : analyseur dragonmantank/cron-expression · MODE_HASHED accepte « # # * * * » et « #daily »
Audio : durée, débit, fréquence, canaux, codec, conteneur · ffprobe (FFmpeg) requis

Trois validateurs maison de moins. Et un NotBlank à ne pas oublier.

Lire la fiche Source

04 MESURE Article

Hyperfine 2.0 : plus de shell, et un JSON qui change

heise Developer8 octobre2 min de lecture

Hyperfine 2.0.0 lance désormais les commandes mesurées sans shell, exporte un JSON au schéma 2 — la moyenne passe de results[i].mean à results[i].summary.time_wall_clock.mean — et supprime --time-unit, --sort et --reference. En échange, il mesure le pic mémoire par défaut et, via --metrics, les compteurs matériels. Les scripts de CI qui s'en servent sont à revoir avant la mise à jour.

Sans shell par défaut (--shell=none) · -S (= --shell=default) pour pipes et redirections
JSON schéma 2 : results[i].mean → results[i].summary.time_wall_clock.mean
Supprimés : --time-unit/-u, --sort, --reference, --reference-name · nouveaux : --metrics, --env

Votre benchmark tourne toujours. Il ne mesure peut-être plus la même chose.

Lire la fiche Source

05 OUTILS Discussion

jj 0.46 : un workspace devient un vrai worktree Git

GitHub8 octobre2 min de lecture

Jujutsu 0.46.0 colocalise enfin tous ses workspaces : jj workspace add crée un worktree Git, si bien que chaque workspace est visible par Git, par l'éditeur et par les hooks — de quoi faire tourner plusieurs agents en parallèle. La version exige Git 2.42.0 et durcit jj undo et jj bisect run.

jj workspace add --colocate / --no-colocate · réglage git.colocate → worktree Git
Rupture : Git ≥ 2.42.0 (git worktree add --orphan) · Rust MSRV 1.97.1
jj undo/redo : --allow-cross-workspace · jj bisect run : --trust-endpoints

Un workspace par agent, et Git le voit enfin.

Lire la fiche Source

06 WEB Article

tinyjs : une app desktop en JavaScript de 6 Mo

tinyjs8 octobre2 min de lecture

tinyjs produit des applications de bureau d'environ 6 Mo : la fenêtre est la webview du système, le backend tourne en JavaScript sur txiki.js et parle à la page par un socket Unix, sans port ouvert. C'est le poids de Tauri sans Rust ni compilation, avec dialogues, menus, trousseau et mise à jour intégrés à l'API. macOS est stable, Windows et Linux en bêta.

~6 Mo par app, contre ≥ 150 Mo (Electron) et ~10 Mo (Tauri) · licence MIT
Backend txiki.js (QuickJS + libuv, 5,6 Mo) · RPC par socket Unix (dossier 0700), aucun port
macOS 15+ stable · Windows 10/11 et Linux (glibc 2.35+, libwebkit2gtk-4.1-0) en bêta

Cent cinquante mégaoctets pour un utilitaire interne, c'était peut-être beaucoup.

Lire la fiche Source

07 IA Article

ML Intern : fine-tuner un modèle pour 1,90 $

Hugging Face8 octobre3 min de lecture

Un ingénieur de Hugging Face a fait construire six modèles par ML Intern, l'agent d'entraînement de HuggingChat, pour 103 $ de calcul au total : un classifieur de maladies d'agrumes passé de 14,9 % à 52,8 % pour 1,90 $, ou un réécrivain de prompts de 9B distillé en 0,8B pour 16 $. Les prompts sont publiés, et leurs trois garde-fous — score de base, essai de 50 pas, plafond de dépense — valent pour tout fine-tuning.

Citrus : Qwen3.5-2B, 14,9 % → 52,8 % sur 335 photos de test, 2 epochs sur un A10G, 1,90 $
Pocket Rewriter : 9B → 0,8B, GGUF de 812 Mo sur CPU, 99,7 % de sorties valides, 16 $
Garde-fous : score de base · essai de 50 pas · plafond de dépense — prompts sur yvrjsharma/ml-intern-prompts

Un modèle sur mesure coûte moins qu'un café. À condition de mesurer avant.

Lire la fiche Source

08 LLM Article

Dynamo : le cache KV suit la session de l'agent

PyTorch8 octobre3 min de lecture

NVIDIA Dynamo, le routeur au-dessus de vLLM et SGLang, regroupe les requêtes d'un agent par identifiant de session — reconnu d'office pour Claude Code, Codex et OpenCode. Il peut ainsi mettre en pause, à la frontière d'un appel d'outil, les sessions qui saturent le cache KV au lieu de l'évincer. Gain annoncé : 12 à 16 % de débit sur SWE-bench face au routage par requête.

En-tête x-dynamo-session-id (+ x-dynamo-parent-session-id) · Claude Code, Codex, OpenCode reconnus d'office
Pause des sessions en attente d'outil à U ≥ 0,95, cible 0,80, reprise à U ≤ 0,85 · reprise forcée après 30 min
+12 à 16 % de débit sur SWE-bench (2 × MiniMax-M2 TP4, 8 × H100) · traces : DYN_REQUEST_TRACE=1

Un agent qui attend un outil n'a pas besoin du GPU. Juste de son cache.

Lire la fiche Source

VeilleTech — feed du vendredi 9 octobre