VeilleTech — 2026-10-20

01 WORDPRESS Discussion

Rank Math PRO : mise à jour piégée, patch 3.0.124

The Hacker News19 octobre4 min de lecture

Des copies de Rank Math PRO téléchargées ou reçues en mise à jour entre le 15/10 à 20:02 UTC et le 16/10 à 07:12 UTC contenaient une porte dérobée qui se recrée à chaque visite (CVE-2026-111862, 9,8). Un site où elles ont été installées et activées est à tenir pour compromis, même passé en 3.0.124 : le correctif ne retire ni les comptes, ni les tâches planifiées, ni les fichiers déjà posés. Rank Math recommande de restaurer une sauvegarde antérieure, sinon de supprimer le dossier du plugin et de nettoyer dans un ordre précis.

Fenêtre : 15/10 20:02 UTC → 16/10 07:12 UTC · la 3.0.123 date du 07/10, le numéro ne prouve rien
CVE-2026-111862 (9,8) · correctif 3.0.124, installé en dernier depuis le compte rankmath.com
Supprimer rank-math-pro · options _uf6qdn2hmm, t8krdk990phb, _np5pvf754c · bloquer rank1cdn[.]com

Désactiver ne suffit pas : le dossier entier doit disparaître.

Lire la fiche Source

02 SÉCURITÉ Faille

OpenCode Console : vos clés API à révoquer

The Hacker News19 octobre3 min de lecture

Un intrus a atteint, dans la nuit du 16/10, un ancien système d'OpenCode et peut avoir exposé les clés OpenAI, Anthropic ou Google enregistrées dans OpenCode Console : 1,4 % des utilisateurs de Console, prévenus par e-mail le 17/10. Les clés saisies dans l'application CLI ou bureau, gardées en local, ne sont pas concernées selon le cofondateur Dax Raad. Des utilisateurs rapportent des usages non reconnus de plusieurs centaines de dollars ; OpenCode n'a pas dit que des clés avaient été copiées.

Accès à un système hérité dans la nuit du 16/10 · 1,4 % des utilisateurs de Console · e-mail « Action Required: Potential provider key breach » (17/10)
Supprimer la clé dans Console ne la révoque pas : révoquer chez OpenAI, Anthropic ou Google, puis recréer
Relire l'usage depuis le 16/10 · alerte de dépense chez le fournisseur · une clé par outil

Une clé copiée coûte tant qu'on ne l'a pas révoquée.

Lire la fiche Source

03 SÉCURITÉ Faille

GhostAction : une fausse police cache un voleur

The Hacker News19 octobre3 min de lecture

Après le blocage de son workflow malveillant par GitHub le 09/10, GhostAction change de méthode : hameçonnage d'un mainteneur via my-github[.]com (193.32.204.199), qui autorise une application OAuth aux droits repo, workflow et read:org, puis second étage dans 94 dépôts — un tasks.json VS Code lancé à l'ouverture du dossier et un faux fichier de police fa-solid-400.woff2 qui cache un voleur de secrets. Cette fois rien n'exige un runner GitHub : le code s'exécute sur la machine du développeur.

my-github[.]com → 193.32.204.199 (jeton sur TCP 8443, données en HTTP sur 8080) · domaine enregistré le 09/10
public/fonts/fa-solid-400.woff2 + tasks.json (runOn: folderOpen) + cron toutes les 5 min
94 dépôts, 66 propriétaires · workflows lint.yml, ci-check.yml, build-check.yml, repo-health.yml, audit.yml, code-review.yml, test-suite.yml, cache-cleanup.yml

Ouvrir un dossier ne devrait pas suffire à exécuter du code.

Lire la fiche Source

04 OAUTH Faille

Google OAuth : DPoP lie le refresh token à une clé

DEV Community20 octobre4 min de lecture

Google permet de lier un refresh token OAuth à une clé via DPoP (RFC 9449), annoncé le 15/10 ; seuls les refresh tokens sont liés, l'access token reste un Bearer. Un développeur a mesuré le comportement réel le 19/10 (Node 24.22.0, jose 6.2.12) : exemple officiel signé en DER, nonce accepté plusieurs fois, preuve rejouable près d'une heure, clé non extractable impossible à sauvegarder. Ce sont les mesures d'une seule personne ; son signalement à Google a été classé Won't Fix.

Refresh token lié à la clé (P-256, ES256) · access token toujours Bearer · RFC 9449
Premier refresh : 400 use_dpop_nonce puis réessai · preuve rejouée acceptée à 3 540 s, rejetée à 3 660 s
extractable: false impossible à persister sous Node : au redémarrage, tous les refresh tokens liés sont perdus

Une clé non exportable, c'est un redémarrage qui déconnecte tout le monde.

Lire la fiche Source

05 SÉCURITÉ Faille

Dependabot signale les paquets piégés, Composer inclus

heise Developer19 octobre2 min de lecture

Depuis fin juillet, GitHub émet des alertes de paquets malveillants pour huit écosystèmes — crates.io, Go, Maven, NuGet, npm, PHP Composer, PyPI, RubyGems — contre le seul npm auparavant, en important le dépôt malicious-packages de l'OpenSSF (plus de 238 000 signalements). Les alertes malware de Dependabot sont facultatives et s'activent par dépôt ou par organisation ; la règle d'auto-triage qui écarte les faux positifs écarte aussi de vrais paquets malveillants.

8 écosystèmes : crates.io, Go, Maven, NuGet, npm, PHP Composer, PyPI, RubyGems (npm seul avant fin juillet)
OpenSSF malicious-packages : plus de 238 000 signalements, dont plus de 28 000 de GitHub · filtre type:malware
Règle « Dismiss package malware alerts » (désactivée par défaut) : écarte aussi de vrais malwares

L'alerte existe, mais elle ne s'allume pas toute seule.

Lire la fiche Source

06 SYMFONY Article

Symfony 8.2 : trans_html, du HTML traduit sans raw

Symfony19 octobre2 min de lecture

Symfony 8.2 ajoute le filtre Twig trans_html : la traduction ne contient plus que des pseudo-balises sans attributs, que le template associe aux éléments HTML à produire. Symfony rend les balises déclarées et échappe tout le reste (texte, paramètres, valeurs d'attributs, balises non déclarées), ce qui supprime le recours à raw et le risque d'XSS qui l'accompagne. Une classe HtmlTranslator couvre le même besoin côté PHP (Hugo Alliaume, #66690).

Filtre Twig trans_html (Symfony 8.2) : pseudo-balises dans la traduction, éléments déclarés dans le template, plus de raw
Tout le reste est échappé · balises déséquilibrées : message entier échappé · script et style interdits
Classe HtmlTranslator (composant Translation) pour le PHP, par exemple les e-mails · PR #66690

Un lien dans une traduction, sans ouvrir la porte au XSS.

Lire la fiche Source

07 LARAVEL Article

Laravel : DB::olap() contourne les 100 000 lignes

Laravel News19 octobre2 min de lecture

Laravel 13.36 ajoute DB::olap(), qui passe une connexion MySQL en mode OLAP de Vitess le temps d'un callback pour dépasser les limites de PlanetScale (100 000 lignes et 64 Mio par requête). Elle règle le mode sur les connexions en écriture et en lecture, revient en OLTP ensuite et ne fait rien hors Vitess. Piège : une LazyCollection (cursor, lazy, lazyById) exécute sa requête plus tard, déjà en OLTP.

DB::olap(fn () => …) · Laravel 13.36 · PR #61932 (Jack Bayliss) · isVitess() ajouté
PlanetScale en OLTP : 100 000 lignes et 64 Mio par requête · OLAP sans ces limites
cursor(), lazy(), lazyById() : parcourir dans le callback, ou get() · PostgreSQL et SQLite : BadMethodCallException

OLAP pour l'export de ce soir, pas pour vos pages.

Lire la fiche Source

08 LLM Article

Cloudflare : 68 % de facture IA en moins

Cloudflare19 octobre5 min de lecture

Le relecteur de code IA de Cloudflare est passé de 1,19 $ par revue (avril) à environ 2,46 $ (fin août), puis à 0,77 $ après un travail sur les jetons : −68 %, et une revue médiane de 4 min 09 s à 1 min 32 s. Le plus gros gain vient du cache de prompt : la première requête d'une session ne lisait un préfixe en cache que dans 14 à 26 % des cas, 91 à 99,5 % après avoir séparé le prompt commun du reste. Le reste vient de moins d'appels et de changements de modèle et d'effort, avec des réserves sur la qualité.

2,43 $ → 0,77 $ par revue (−68 %) · médiane 4 min 09 s → 1 min 32 s · 99e centile 15 min 20 s → 4 min 41 s
Première requête lisant le cache : 14–26 % → 91–99,5 % (16/09) · écriture 1,25× le prix d'entrée, lecture 0,1×, expiration à 5 min
Baisse de 1,67 $ : 0,65 $ par le code, 1,06 $ par modèle et effort · performance et sécurité à effort moyen : des constats perdus

Avant d'optimiser le modèle, regardez ce qui part vraiment au fournisseur.

Lire la fiche Source

09 IA Article

Meta : l'orchestrateur mince rend ses agents fiables

Meta Engineering19 octobre3 min de lecture

Meta décrit un « orchestrateur mince » : un routeur déterministe de 1 300 lignes qui n'effectue aucun travail de domaine et délègue à 14 sous-agents spécialisés au contexte isolé, après qu'un agent unique chargé de toute la connaissance s'est mis à halluciner en production. Préparer une colonne de données passe de trois à quatre jours à moins d'une heure, et environ deux tiers des changements n'ont pas besoin de retouche humaine notable (chiffres de Meta, sans test indépendant).

Routeur déterministe de 1 300 lignes · 20+ workflows · 14 sous-agents · 6 étapes sur 7 sans LLM
Autre agent unique : 70–80 % de réussite avec prompt manuel, 10–20 % sans · colonne : 3–4 jours → moins d'une heure
Nouveau cas (migration de pipeline) = un modèle de workflow, zéro nouvel agent · connaissances chargées à la demande (25+ fichiers)

Le composant le plus important est celui qui en fait le moins.

Lire la fiche Source

VeilleTech — feed du mardi 20 octobre