VeilleTech — 2026-10-15

01 SÉCURITÉ Faille

Nextcloud : des web shells via l'app Collabora

The Hacker News14 octobre4 min de lecture

Des attaquants exploitent depuis le 10 septembre l'app Nextcloud « Collabora Online - Built-in CODE Server » (richdocumentscode) : un script PHP exécutait une commande glissée dans le chemin d'une requête non authentifiée, tant que le serveur CODE local était arrêté. Le correctif 26.4.303 date du 11 septembre, mais l'avis (CVE-2026-110447) n'est paru que le 14 octobre, et désactiver l'app ne protège pas.

CVE-2026-110447 : proxy.php de richdocumentscode exécute une commande sans compte · versions avant 26.4.303 · Nextcloud 30+ requis pour le correctif
Désactiver l'app ne suffit pas : la mettre à jour (26.4.303) ou la supprimer
Indices : /apps/richdocumentscode/proxy.php?status, fichiers shx*.php, IP 139.28[.]18[.]122 et 89.38[.]98[.]50

Désactiver une application n'a jamais retiré son fichier PHP du disque.

Lire la fiche Source

02 SÉCURITÉ Faille

curl 8.23.0 : un use-after-free en HTTP/2

The Hacker News14 octobre3 min de lecture

curl 8.23.0, sorti le 14 octobre, corrige un use-after-free dans la gestion des envois HTTP/2 (CVE-2026-92392), présent de curl et libcurl 8.12.0 à 8.22.0. Un serveur hostile qui reçoit un fichier d'environ 135 Ko peut corrompre la mémoire du client ; le chercheur en a tiré une exécution de code, mais curl s'attend surtout à un plantage. Aucune attaque n'est connue.

CVE-2026-92392 : use-after-free HTTP/2, curl et libcurl 8.12.0 à 8.22.0 · corrigé en 8.23.0
Branches corrigées : 8.14.3, 8.16.2, 8.20.2 · Debian 13 : 8.14.1-2+deb13u7 (DSA-6558-1)
Contournement : --http1.1 ou CURLOPT_HTTP_VERSION = CURL_HTTP_VERSION_1_1

Un client qui envoie un fichier fait confiance au serveur qui le reçoit.

Lire la fiche Source

03 NODE Article

Node.js : correctifs de sécurité le 21 octobre

Node.js14 octobre1 min de lecture

Le projet Node.js prévient que des versions de sécurité des lignes 26.x, 24.x et 22.x paraîtront le mercredi 21 octobre 2026 ou peu après, la faille la plus grave étant classée HIGH. Le préavis ne détaille rien ; les versions en fin de vie restent touchées par principe. Le moment de planifier est maintenant.

Versions de sécurité le mercredi 21 octobre 2026, ou peu après
Lignes concernées : 26.x, 24.x et 22.x · gravité maximale : HIGH
Versions en fin de vie : toujours touchées, sans correctif · liste nodejs-sec pour être prévenu

Une alerte sans détail sert surtout à réserver sa fenêtre de déploiement.

Lire la fiche Source

04 IA Article

SDK Anthropic : OpenTelemetry actif par défaut

Anthropic SDK14 octobre1 min de lecture

La version 0.134.0 du SDK TypeScript d'Anthropic émet par défaut des spans OpenTelemetry pour les appels d'API, les flux et les exécutions d'outils, et propage le contexte de trace dans les requêtes. Rien n'apparaît sans fournisseur de traces enregistré, mais la dépendance @opentelemetry/api est ajoutée et un en-tête traceparent part vers l'API. Deux options et deux variables d'environnement permettent de tout couper.

SDK TypeScript 0.134.0 : spans OpenTelemetry actifs par défaut · nouvelle dépendance @opentelemetry/api ^1.4.1
Tout couper : openTelemetry: false ou ANTHROPIC_OPEN_TELEMETRY=false
Garder les spans sans en-têtes : openTelemetry: { propagation: false } ou ANTHROPIC_OPEN_TELEMETRY_PROPAGATION=false

Une trace qui s'active toute seule, c'est une trace dont vous devez décider ce qu'elle emporte.

Lire la fiche Source

05 MESURE Article

Agent navigateur : la capture d'écran coûte 5× plus

DEV Community15 octobre2 min de lecture

Une équipe a mesuré, dans ses propres journaux Claude Code, ce que coûtent en jetons les appels d'un agent navigateur : un retour avec capture d'écran pèse une médiane de 1 855 jetons contre 373 en texte, et ces captures font 49 % de la consommation de l'outil. Un outil qui renvoie la page en texte économise environ 27 % par appel sur 9 sites. Mesure de terrain, pas un banc d'essai.

7 500+ appels mesurés : capture 1 855 jetons (médiane) contre 373 en texte, soit ~5×
Les captures : 23 % des appels de claude-in-chrome mais 49 % de ses jetons
opencli : médiane 397 jetons, −27 % par appel sur 9 sites (7 gagnés) · règle : API/curl, puis texte, puis capture

Ce que l'agent regarde en image, vous le payez cinq fois.

Lire la fiche Source

06 LLM Article

AREX-2 : la config promet une tête MTP absente

DEV Community15 octobre4 min de lecture

En comparant AREX-2 (27 B, BAAI, Apache 2.0) à Qwen3.8-27B, un billet montre qu'un fine-tune de même architecture ne se sert pas avec la même commande : sa config déclare une tête MTP dont l'index safetensors ne contient aucun tenseur, et le drafter DFlash2 vise le modèle de base. Il rappelle aussi que le FP8 est lent sur Ampère. Les auteurs n'ont pas fait tourner AREX-2 eux-mêmes.

config.json : mtp_num_hidden_layers = 1, mais l'index safetensors d'AREX-2 compte 0 tenseur MTP (15 pour Qwen3.8-27B)
FP8 sur Ampère (RTX A6000) : 24 tok/s contre 41 en INT4 W4A16, mesuré sur le modèle de base
1M de contexte (YARN) ou drafter DFlash2, pas les deux : 256K avec drafter

La config déclare, les poids tranchent.

Lire la fiche Source

07 CLOUDFLARE Article

Hyperdrive MySQL : GA, un bug de cache à 0,001 %

Cloudflare14 octobre3 min de lecture

Hyperdrive, le pooleur de connexions de Cloudflare pour Workers, passe en disponibilité générale pour MySQL. Le billet détaille trois pièges de protocole : utf8 n'est pas du vrai UTF-8, COM_RESET_CONNECTION remet le jeu de caractères du serveur, et un cache partagé entre deux nœuds servait des octets au mauvais format, ce qui produisait environ 0,001 % de réponses vides.

Hyperdrive MySQL en disponibilité générale · cible de succès des connexions client : 99,99 %
utf8 = utf8mb3 (3 octets) : négocier utf8mb4 · COM_RESET_CONNECTION remet le charset du serveur (ex. latin1)
Bug : ~0,001 % de réponses vides, cache partagé Client/Endpoint, octets au format du pilote (CLIENT_DEPRECATE_EOF)

Un bug à un sur cent mille est un bug qui attend la production.

Lire la fiche Source

08 SYMFONY Article

Symfony 8.2 : des workflows déclarés par attributs

Symfony14 octobre2 min de lecture

Symfony 8.2 permet de définir un workflow ou une machine à états avec des attributs PHP : #[AsWorkflow] sur une classe de service, #[Transition] sur des constantes, #[Place] sur les cas d'une énumération. La classe est un service ordinaire, qui porte aussi ses écouteurs. Toutes les options de la configuration restent disponibles.

#[AsWorkflow] sur un service autoconfiguré + #[Transition] sur des constantes · nom déduit de la classe sans le suffixe Workflow
Machine à états par défaut ; WorkflowType::Workflow pour un workflow · marquage dans la propriété marking
Enums : #[Place], places: TaskStatus::class · écouteurs sans argument workflow

La configuration d'un workflow vit enfin à côté de ses transitions.

Lire la fiche Source

09 LARAVEL Article

Laravel 13.36 : Mercure passe en synchrone par défaut

Laravel News14 octobre2 min de lecture

Laravel 13.36.0 diffuse les événements Mercure de façon synchrone par défaut (MERCURE_ASYNC=true pour revenir à la file) et corrige l'échappement des barres obliques inverses dans les liens des mails Markdown. Elle ajoute aussi des builders Rule:: pour les règles de validation restantes, DB::olap() pour PlanetScale/Vitess et une réinitialisation opt-in des connexions sticky entre jobs.

Mercure : diffusion synchrone par défaut · MERCURE_ASYNC=true + url Mercure pour revenir à la file
Worker::$flushStickyConnections = true réinitialise les connexions sticky entre jobs (opt-in)
DB::olap(fn () => …) pour PlanetScale/Vitess · Rule::uuid()->version(4), Rule::url()->protocols(['https'])

Ce qui change sans bruit est ce qui casse sans bruit.

Lire la fiche Source

VeilleTech — feed du jeudi 15 octobre