VeilleTech — 2026-10-10

01 SÉCURITÉ Faille

GhostAction : un faux audit vole vos secrets CI

The Hacker News9 octobre3 min de lecture

La campagne GhostAction revient : un workflow nommé Security Audit (security-audit.yml ou github_actions_security.yml) est poussé sous l'identité de mainteneurs dont le jeton a été volé, dans des dizaines de milliers de dépôts depuis le 7 octobre selon Socket. Il aspire les secrets Actions et tout ce que l'historique git a déjà contenu, puis les envoie en HTTP à 193.32.204.199. À chercher depuis le 31 août ; un dépôt touché est à considérer comme compromis.

Fichiers : security-audit.yml · github_actions_security.yml · exfiltration HTTP vers 193.32.204.199
Relais : Takashi Kitao (pyxel) 27 dépôts · Henry Wu (henrywoo) 318 dépôts en 16 min · 500+ comptes
À faire : chercher ces fichiers depuis le 31 août 2026, révoquer le jeton, renouveler les secrets

Un audit de sécurité que personne n'a demandé n'est pas un contrôle. C'est une alerte.

Lire la fiche Source

02 SÉCURITÉ Faille

AnyDesk Linux : un exploit root, corrigé sans CVE

The Hacker News9 octobre2 min de lecture

Des chercheurs de V12 ont publié AnyPwn, un exploit complet pour une exécution de code pré-authentification en root dans AnyDesk Linux, par un dépassement d'entier du protocole de session sur le port TCP 7070. AnyDesk l'a corrigé en 8.0.3 en juin, en le décrivant comme un bogue de plantage, sans CVE ni avis. Il faut être en 8.0.3 ou plus, ou filtrer le port.

AnyPwn : RCE root pré-auth, TCP 7070, exploit public sur GitHub depuis le 8 octobre 2026
Corrigé en 8.0.3 (juin) · dernière version 8.1.0 · exploit calé sur 8.0.2 · aucun CVE
0xFFFFFFF0 + 0x10 = 0 en 32 bits : tampon minuscule, débordement du tas

Sans CVE, aucun scanner ne vous le dira. L'inventaire, si.

Lire la fiche Source

03 VERCEL Article

Vercel : purge des déploiements dès le 23 octobre

Vercel9 octobre1 min de lecture

Vercel étend la facturation du Deployment Storage et du Functions Storage (0,10 $ par Go-mois) à toutes les équipes Pro et ramène la rétention à 30 jours : les déploiements plus anciens sont supprimés à partir du 23 octobre 2026, sauf refus dans les réglages avant cette date. Un déploiement supprimé ne se restaure pas et ne sert plus au rollback.

À partir du 23 octobre 2026 : déploiements de plus de 30 jours supprimés, sauf refus avant
Deployment Storage et Functions Storage : 0,10 $ par Go-mois, équipes Pro
Un déploiement supprimé ne se restaure pas et ne sert plus au rollback

Garder l'historique coûte dix centimes le gigaoctet. Le perdre ne se rattrape pas.

Lire la fiche Source

04 CLOUDFLARE Discussion

Deno chez Cloudflare : développement arrêté dans un an

Deno9 octobre2 min de lecture

L'équipe Deno rejoint Cloudflare. Le runtime Deno recevra des versions mensuelles (correctifs et sécurité) pendant un an, puis son développement s'arrête, le code restant libre ; Deno Deploy ferme dans six mois ; JSR et rusty_v8 continuent. Le but : fusionner celld dans workerd pour que l'auto-hébergement de Workers et de Durable Objects devienne un mode pris en charge.

Runtime Deno : versions mensuelles pendant 1 an, puis fin du développement · code toujours libre
Deno Deploy : arrêt dans 6 mois · aide à la migration vers Workers pour les clients payants
JSR continue sur Cloudflare · rusty_v8 maintenu et visé pour workerd · celld fusionné dans workerd

Le code reste libre. Les mainteneurs, eux, ont un calendrier.

Lire la fiche Source

05 SYMFONY Article

Symfony 8.2 : des URLs signées à usage unique

Symfony9 octobre2 min de lecture

Symfony 8.2 ajoute un argument $version à UriSigner : sa valeur entre dans la signature sans figurer dans l'URL, ce qui permet des liens à usage unique (le hash du mot de passe, par exemple). Signer sans expiration est déprécié et sera refusé en 9.0, et les liens de connexion peuvent désormais signer des paramètres supplémentaires.

UriSigner::sign/check/checkRequest/verify : argument $version, dans la signature mais pas dans l'URL
Signer sans expiration : déprécié en 8.2, refusé en 9.0 · $defaultExpiration ou uri_signer.expiration
createLoginLink($parameters) : paramètres signés, à lire dans l'attribut _login_link_parameters

Un lien signé sans date de fin, c'est un mot de passe qui traîne dans une boîte mail.

Lire la fiche Source

06 LARAVEL Article

Laravel 13.35 : alwaysOnOneServer pour le scheduler

Laravel News9 octobre2 min de lecture

Laravel 13.35 ajoute Schedule::alwaysOnOneServer(), qui exécute chaque tâche planifiée une seule fois quand schedule:run tourne sur plusieurs serveurs, et Schedule::hasBeenInterruptedSince(), qui laisse une commande longue s'arrêter proprement lors d'un déploiement. Deux pièges : les closures sans name() sont ignorées en silence, et le cache doit être partagé entre serveurs.

Schedule::alwaysOnOneServer() dans boot() · désactivable par alwaysOnOneServer(false) · aucune exclusion par tâche
Closure sans name() : ignorée en silence, tourne partout · cache partagé requis · Schedule::useCache('redis')
Schedule::hasBeenInterruptedSince($startedAt) : arrêter une commande longue après schedule:interrupt

Une closure sans nom tourne partout. En silence.

Lire la fiche Source

07 BUN Article

bun check : le type checker intégré à Bun 1.4.3

Bun10 octobre2 min de lecture

Bun 1.4.3 embarque bun check, un vérificateur de types portage de typescript-go, annoncé 3 à 6,4 fois plus rapide que tsc 7.0.2 sur les projets mesurés par Bun. Il se branche sur bun run, bun test et bun build via --check. Il ne fait que vérifier : ni JavaScript ni .d.ts émis, pas de serveur de langage.

bun check : portage de typescript-go · 51 210 tests de conformité de TypeScript 7.0.2 sur 51 210 passés
3 à 6,4× plus rapide que tsc 7.0.2 (Mac 16 cœurs) · Next.js packages/next : 0,28 s contre 1,82 s
bun run --check · bun test --check · bun build --check · Bun.build({ check: true })

Votre éditeur garde TypeScript. Votre CI peut changer de vitesse.

Lire la fiche Source

08 DUCKDB Article

DuckDB 2.0 : le CLI compacte sa sortie pour les agents

DuckDB9 octobre3 min de lecture

Le CLI de DuckDB 2.0 détecte les agents de code (Claude Code, Codex, Cursor, Gemini CLI, Copilot) et passe en tableaux Markdown compacts, tronque explicitement les gros résultats avec un hash, renvoie les erreurs en JSON et annonce le coût des requêtes lourdes. Sur 22 questions TPC-H, la sortie lue par le modèle baisse de 59 %, mais cela ne pèse qu'environ 0,5 % de l'entrée totale.

Mode agent si CLAUDECODE, CODEX_CI, CURSOR_AGENT… défini, sortie non terminal, aucun format demandé
1 000 lignes ou 10 000 octets en entier · au-delà : 20 premières et 20 dernières + hash du résultat
TPC-H SF100, 132 runs : 123,6 k → 50,8 k jetons lus (−59 %), soit environ 0,5 % de l'entrée totale

Moins de décor pour le modèle, et plus de troncature qui passe pour un résultat complet.

Lire la fiche Source

09 SÉCURITÉ Faille

OSS Scanner : Anthropic scanne gratuitement vos dépôts

The Hacker News9 octobre2 min de lecture

Anthropic lance OSS Scanner : les mainteneurs inscrits par pull request reçoivent gratuitement des scans périodiques par ses modèles les plus puissants. Les rapports sont produits sans relecture humaine, donc avec des faux positifs possibles, et aucun délai de divulgation de 90 jours n'est imposé d'office ; l'inscription demande un YAML et un Dockerfile qui construit le projet hors ligne.

Inscription : PR sur github.com/anthropics/oss-scanner avec un YAML (dépôt, e-mail, Dockerfile)
Rapports 100 % générés par modèle, sans relecture humaine · divulgation 90 jours après validation humaine
Option disabled: true pour couper les rapports · threat_model.md oriente l'analyse · clé GPG facultative

Un scan gratuit, sans relecture humaine : le tri vous revient.

Lire la fiche Source

10 IA Article

Clef : un modèle de décision qui répond sans générer

Cloudflare9 octobre3 min de lecture

Cloudflare publie Clef-omni (audio, vidéo, image, texte) et baisse le prix de Clef-flash à 0,038 $ le million de jetons d'entrée, au prix d'un contexte hébergé ramené de 64k à 24k. Ces « modèles de décision » répondent à des questions typées par des probabilités, sans générer de texte ; Microsoft (Decision-1) et Liquid AI (d1) sont arrivés le même jour sur l'AI Gateway de Vercel. Les poids de Clef sont ouverts et servis avec SGLang.

Par million de jetons d'entrée : Clef-flash 0,038 $ · Clef 0,24 $ · Clef-omni 0,15 $
Clef-flash hébergé : contexte 64k → 24k · poids entraînés pour 256k en auto-hébergement
Poids ouverts : Cloudflare/clef, clef-flash, clef-omni sur Hugging Face · lancement via SGLang

Un modèle qui n'écrit pas, ça se calibre et ça se seuille.

Lire la fiche Source

VeilleTech — feed du samedi 10 octobre