VeilleTech — 2026-10-14

01 SÉCURITÉ Faille

Ivanti Connect Secure : trois failles, un accès root

Volexity13 octobre3 min de lecture

Volexity a observé un attaquant, UTA0576, enchaîner trois zero-days dans Ivanti Connect Secure pour obtenir un accès root sans authentification, dès le 3 octobre. Ivanti a corrigé deux failles (CVE-2026-104935) ; la troisième, une élévation de privilèges, attend un correctif annoncé pour les prochaines semaines. L'outil de contrôle d'intégrité d'Ivanti ne détecte pas la chaîne.

CVE-2026-104935 (CVSS 8,6) : contournement d'authentification + exécution de code, puis élévation vers root (3e faille, non corrigée)
Corrigé dans 22.8R2.5, 25.1.3.0 et 25.1.3.1 · exploité dès le 3 octobre sur un 22.8R2.4 à jour
Indices : /dana-na/auth/url_default/welcome.cgi, en-tête X-DSCGI-PATH, /data/.icscap/, IP 108.165.147[.]64

Un contrôle d'intégrité qui ne voit rien ne prouve pas que tout va bien.

Lire la fiche Source

02 SÉCURITÉ Faille

npm : le nom du dépôt valait clé de publication

Bloom Security13 octobre3 min de lecture

Bloom Security a montré que la publication de confiance npm se fiait à l'adresse du dépôt GitHub, et non à son identifiant permanent, tant qu'aucune version n'avait été publiée : qui récupérait une adresse libérée pouvait publier sous le nom du paquet. GitHub fait désormais expirer au bout de 48 heures les configurations jamais validées. Plus de 1 500 paquets étaient vulnérables.

SlugFest : plus de 1 500 paquets vulnérables, plus de 10 millions de téléchargements · signalé à GitHub le 6 juin 2026
Depuis le 2 octobre, une configuration non validée expire après 48 h · la première publication réussie la valide
npm refuse aussi les jetons des événements GitHub Actions issue_comment

Un nom de dépôt n'est pas une identité : seul son identifiant permanent l'est.

Lire la fiche Source

03 SÉCURITÉ Faille

GitLab : CVSS 10, du code exécuté sans compte

GitLab13 octobre2 min de lecture

GitLab corrige CVE-2026-97229, noté 10,0 : une expression régulière forgée dans une configuration CI/CD peut, dans certaines conditions, faire exécuter du code au serveur sans authentification. Trois failles hautes sont corrigées dans le même lot. À appliquer sur toute instance auto-hébergée en 19.2, 19.3 ou 19.4.

CVE-2026-97229 · CVSS 10,0 · exécution de code sans authentification via une regex CI/CD (dépassement d'entier)
Corrigé en 19.4.2, 19.3.5 et 19.2.8 · touchées : 19.2 < 19.2.8, 19.3 < 19.3.5, 19.4 < 19.4.2
Aussi corrigées : CVE-2026-92883 (8,7), CVE-2026-16301 (8,5), CVE-2026-14814 (8,2)

Une regex de plus, et la CI passe de l'autre côté.

Lire la fiche Source

04 SYMFONY Article

Symfony 8.2 : la déconnexion passe en POST

Symfony13 octobre2 min de lecture

Symfony 8.2 permet de n'accepter que POST sur la route de déconnexion, avec les fonctions Twig logout_form() et logout_button() pour générer le formulaire. Elle permet aussi de supprimer la redirection après déconnexion (logout.target: null) et prend en charge le back-channel logout d'OpenID Connect.

logout_form() renvoie action + champs cachés (CSRF compris) · logout_button() rend le formulaire · LogoutUrlGenerator::getLogoutForm() côté PHP
logout.target: null supprime la redirection : le contrôleur de la route répond lui-même
Back-channel logout OIDC : pare-feu à état et pool de cache partagé, sans éviction avant expiration

Un lien de déconnexion, c'est un GET qui attend qu'un robot passe.

Lire la fiche Source

05 LARAVEL Article

Inertia 3.9 : plus de page protégée au bouton retour

Laravel News13 octobre2 min de lecture

Inertia 3.9 corrige un cas où le bouton retour réaffichait une page protégée après la déconnexion, le cache de préchargement n'étant pas vidé avec l'historique. Elle ajoute aussi l'option background (throttle, pause, continue) au polling et une propriété type à l'événement navigate.

clearHistory() vide désormais aussi le cache de préchargement (#3307)
background: 'pause' | 'throttle' (défaut, 1 intervalle sur 10) | 'continue' · keepAlive déprécié
navigate : event.detail.type vaut initial, visit ou history

Se déconnecter, c'est aussi oublier ce qu'on avait préchargé.

Lire la fiche Source

06 RAG Discussion

RAG local : sous 350 Mo, les modèles inventent

Bart de Goede13 octobre3 min de lecture

Un développeur a comparé six modèles locaux et un modèle d'API sur le même RAG de blog : sous 350 Mo, aucun n'est utilisable, ils inventent une réponse à presque toutes les questions hors sujet. Qwen3-0.6B (579 Mo) fait 15 sur 30, Gemma 4 E2B (3,1 Go) 28 sur 30, Claude Haiku 5.5 27 sur 30 pour 0,006 $.

4 modèles de moins de 300 Mo : 0 à 3 réponses fidèles sur 30, 13 à 15 réponses inventées sur 15 questions hors sujet
Qwen3-0.6B (579 Mo) : 15/30 · Gemma 4 E2B (3,1 Go) : 28/30 · Claude Haiku 5.5 : 27/30 pour 0,006 $
Plus de phrases autorisées, moins de fidélité : Qwen3 passe de 15 à 9 puis 5 sur 30 (2, 4, 6 phrases)

Un modèle qui ne sait pas dire « je ne sais pas » n'a rien à faire dans un RAG.

Lire la fiche Source

07 IA Article

Gemini 4 Argon : le prix double le 1er décembre

Simon Willison14 octobre2 min de lecture

Gemini 4 Argon, présenté le 30 septembre à un cercle restreint, est disponible par l'API Gemini depuis le 13 octobre. Tarif de lancement : 2 $ / 10 $ par million de jetons ; il doublera le 1er décembre, selon Simon Willison. Le coût total d'un banc d'essai chez Artificial Analysis le place sous GPT-6 Astra et Claude Opus 5.5.

2 $/M en entrée, 10 $/M en sortie · entrée en cache à −95 % · ×2 le 1er décembre (= Claude Opus 5.5)
Jusqu'à 1 M de jetons en sortie, contre 64 000 avant
Banc d'essai Artificial Analysis : 2 407 $ (Argon), 5 324 $ (GPT-6 Astra), 8 708 $ (Opus 5.5)

Le prix de lancement n'est pas le prix de production.

Lire la fiche Source

08 OUTILS Discussion

Anthropic a quitté Git pour son propre outil, Scion

Anthropic13 octobre3 min de lecture

Anthropic a remplacé Git par Scion, un système de gestion de versions maison migré en cinq mois, alors que les changements fusionnés par jour passaient de 2 500 en mai à plus de 30 000 en septembre. Les clients étant des agents toujours en ligne, le serveur calcule tout : plus de packfiles, des commits côté serveur, des checkouts en secondes. Anthropic précise que Scion ne remplace pas Git en général et ne sera pas proposé.

2 500 → plus de 30 000 changements fusionnés par jour (mai → septembre 2026)
~25 millions de checkouts CI par jour · ~100 Go d'historique · 600+ Po de trafic Git si récupéré naïvement
Infrastructure 200× plus petite, checkouts en secondes, +25 % de CPU libéré en CI · équipe de 7, migration en 5 mois

Quand les agents écrivent, c'est la forge qui devient le goulot.

Lire la fiche Source

09 FRONT Article

TanStack Charts 1.0 : une API enfin stable

TanStack13 octobre2 min de lecture

TanStack Charts passe en 1.0 avec une API stable et un guide de migration : une grammaire de graphiques typée et tree-shakable pour SVG et Canvas, avec des entrées compatibles D3. Les auteurs publient une comparaison de poids gzip (août 2026) : 29 ko, contre 97 ko pour Recharts. React Native reste expérimental.

1.0 : API stable et guide de migration · React Native expérimental
Poids gzip, mesure des auteurs (août 2026) : TanStack Charts 29 ko, Chart.js 46 ko, Recharts 97 ko, ECharts 157 ko
SVG par défaut · Canvas et animations hors du bundle tant qu'on ne les importe pas

Le bon graphique est celui qu'on ne regrette pas d'avoir embarqué.

Lire la fiche Source

VeilleTech — feed du mercredi 14 octobre