VeilleTech — 2026-10-21

01 SÉCURITÉ Faille

eMudhra : huit clés d'AC compromises, mettez à jour

Cloudflare21 octobre4 min de lecture

Les clés privées de huit certificats intermédiaires d'eMudhra (six TLS, deux de signature de code) sont compromises : qui les détient peut émettre un certificat accepté pour n'importe quel site. Les navigateurs ont bloqué ces certificats à distance, mais les clients Go, Python, les images de conteneur et tout magasin de confiance embarqué doivent être mis à jour puis redémarrés. Ne résolvez surtout pas les erreurs de certificat qui en découlent en coupant la vérification.

8 clés d'intermédiaires eMudhra compromises · signalées à Mozilla le 17/10 à 20:06 UTC
Go 1.27.3 et 1.26.10 · pip 26.2.2 · uv 0.13.4 · certifi 2026.10.19 · cloudflared 2026.10.2
Firefox 158.0.1 · ESR 115.43.1 et 153.5.1 · NSS 3.131.1 · test : emudhra.we-have-a-problem.com

Mettre à jour ne suffit pas : testez le chemin TLS réel.

Lire la fiche Source

02 PHP Article

PHP : correctif critique annoncé pour le 21 octobre

PHP.net20 octobre2 min de lecture

L'équipe sécurité de PHP annonce une version corrective le mercredi 21 octobre 2026 à 14:00 UTC, qui traite deux failles critiques notées CVSS v4.0 9,2. Ni la nature des failles ni les versions touchées ne sont publiques : tout sortira avec le correctif, éventuellement plus tôt si les détails fuitent. D'ici là, on peut inventorier ses installations et savoir qui redéploie.

Version de sécurité PHP : mercredi 21/10/2026 à 14:00 UTC, peut sortir plus tôt
2 failles critiques · CVSS v4.0 9,2 chacune · détails et versions publiés avec le correctif
CVE-2026-109618 et CVE-2026-109619 cités par des rapports publics, non confirmés par PHP

À quatorze heures UTC, votre inventaire PHP doit déjà être prêt.

Lire la fiche Source

03 LARAVEL Article

Laravel : le guard token laisse usurper un compte

Laravel News20 octobre2 min de lecture

Un avis critique (GHSA-f9x3-7vq9-cph6, CVSS 9,2) concerne le guard d'API de Laravel de driver token : sur MySQL et MariaDB, une valeur qui n'est pas une chaîne permettait de se connecter comme un autre utilisateur. Le correctif, un test is_string dans TokenGuard, figure dans les versions 12.68.0 et 13.29.0, publiées le 25 août. Les applications à jour depuis sont protégées ; les autres vérifient config/auth.php.

GHSA-f9x3-7vq9-cph6 · CVSS 9,2 · TokenGuard (driver token) · MySQL et MariaDB
Corrigé dans 12.68.0 et 13.29.0, publiées le 25/08/2026 · test is_string() ajouté
Second avis GHSA-5wcm-3v2w-8362 (6,5) · JSON:API · corrigé en 12.68.0 et 13.27.0

Un tableau à la place d'un jeton, et la requête fait le reste.

Lire la fiche Source

04 SÉCURITÉ Faille

OVHcloud CLI : cinq releases GitHub piégées

The Hacker News20 octobre4 min de lecture

Le 19 octobre, un compte de contributeur détourné a servi à remplacer les archives des releases v0.11.0 à v0.15.0 de la CLI d'OVHcloud par une version conçue pour voler les secrets du disque. Les fichiers sont restés en ligne jusqu'à 94 minutes (12:47 à 14:21 UTC) ; la v0.16.0, immuable, est saine. Le réglage d'immuabilité des releases GitHub n'était pas activé.

v0.11.0 à v0.15.0 piégées le 19/10 · 12:47 à 14:21 UTC (94 min) · v0.16.0 saine
Reconnaître : go version -m → v0.15.1-0.20261013083505-5ead8ef9b43d+dirty · commit 5ead8ef (pas 760fd72)
Changer tous les secrets du disque · gh release verify-asset v0.16.0 FICHIER

Un hash épinglé en CI a suffi pour trahir l'archive piégée.

Lire la fiche Source

05 SÉCURITÉ Faille

curl : failles LOW et MEDIUM traitées en public

daniel.haxx.se20 octobre2 min de lecture

À partir du 26 octobre 2026, le projet curl demande que toute faille de gravité LOW ou MEDIUM soit signalée comme issue publique sur GitHub ; seules les failles HIGH et CRITICAL restent privées sur HackerOne. Daniel Stenberg justifie ce changement par l'avalanche de rapports, en partie produits par des modèles d'IA, qui épuise les mainteneurs. Les utilisateurs de curl sauront plus tôt, et l'écart de temps dont profitent les attaquants s'allonge un peu.

À partir du 26/10/2026 : failles LOW et MEDIUM → issues publiques sur GitHub
HIGH et CRITICAL restent privées sur HackerOne · plus de 90 % des rapports sont sous HIGH
Rapport LOW/MEDIUM déposé sur HackerOne : refermé comme informatif, puis rendu public

Dès le vingt-six, les petites failles de curl se discutent en public.

Lire la fiche Source

06 SYMFONY Article

Symfony 8.2 : JSON Schema généré depuis vos types PHP

Symfony20 octobre3 min de lecture

Symfony 8.2 introduit le composant JsonSchema, qui génère des schémas JSON Schema à partir des types PHP, en suivant les métadonnées du serializer et les contraintes de validation. Il sait produire des schémas OpenAPI 3.1 ou 3.0 et décrire les paramètres d'une méthode PHP pour un outil d'agent ou de serveur MCP. Il demande PHP 8.2 et fonctionne avec les composants Symfony 7.4 (Antoine Bluchet, #66685).

Composant JsonSchema (Symfony 8.2) · PHP 8.2 minimum · compatible Symfony 7.4
generateForParameters() + #[JsonSchemaConstraint] · flatten() pour MCP et LLM
Configuration : dialect (OpenAPI 3.1 / 3.0), groups, direction Input/Output

Vos types PHP écrivent le schéma que les agents lisent.

Lire la fiche Source

07 OUTILS Release

TypeScript 7.1 bêta : jusqu'à 1,9× plus rapide

TypeScript20 octobre3 min de lecture

TypeScript 7.1 passe en bêta avec des gains mesurés par l'équipe sur cinq bases de code : de 1,2× à 1,9× plus rapide et de 16 à 50 % de mémoire en moins face à 7.0. La bêta apporte les attributs d'import dans les modules ambiants, la cible es2026 stable et une nouvelle API, mais durcit la vérification des paramètres de type distributifs. En parallèle, Cloudflare et VoidZero présentent tsrs, un portage Rust expérimental annoncé jusqu'à 8× plus rapide.

TypeScript 7.1 bêta · npm install -D typescript@beta · candidate dans environ 1 mois
Face à 7.0 (4 threads, --noEmit) : mui-docs 22,2 s → 11,9 s · mémoire 8 093 → 4 079 MiB
tsrs (Rust, expérimental) : jusqu'à 8× plus rapide et ~70 % de mémoire en moins, selon Cloudflare

Essayez la bêta sur une branche, pas sur main.

Lire la fiche Source

08 CSS Article

CSS : random() arrive dans Safari et Chrome 156

Smashing Magazine20 octobre2 min de lecture

La fonction CSS random() de la spécification CSS Values and Units 5 est livrée dans Safari et en cours de déploiement dans Chrome 156, avec des signaux positifs côté Firefox. Elle produit un nombre aléatoire entre deux bornes de même unité, avec un pas optionnel et une clé de cache pour que plusieurs propriétés partagent la même valeur. À protéger par @supports et à tempérer avec prefers-reduced-motion.

random(min, max, pas) · CSS Values and Units 5 · Safari, Chrome 156 en cours
Mêmes unités aux bornes · clé de cache partagée (--nom) pour des valeurs identiques
Protéger par @supports · respecter prefers-reduced-motion

Du hasard en CSS pur, tant qu'il reste décoratif.

Lire la fiche Source

09 LLM Discussion

DeepSeek ouvre DeepInfer, son moteur d'inférence

GitHub20 octobre2 min de lecture

DeepSeek publie sous Apache 2.0 DeepInfer, le moteur d'inférence de ses services en production, limité pour l'instant à DeepSeek-V4.1-Flash et à l'inférence hors ligne. Il demande des GPU NVIDIA SM100 ou des NPU Huawei Ascend 950, et ne fournit ni cache KV ni répartition de charge. L'intérêt pour un développeur est de lire comment il règle l'invariance au lot, l'échantillonnage déterministe et les sorties structurées.

DeepInfer · Apache 2.0 · modèle pris en charge : DeepSeek-V4.1-Flash uniquement
NVIDIA SM100 ou Huawei Ascend 950 · Linux · Python 3.12 · CUDA 13 · GCC 13 ou plus
DEEPINFER_BATCH_INVARIANT=1 · seq_seed fixe · sorties : regex, schéma JSON, EBNF

Le moteur de DeepSeek se lit ; il ne se lance pas sur un portable.

Lire la fiche Source

10 LLM Article

PyTorch 2.15 sur Mac : MoE jusqu'à 6,5× plus vite

Hugging Face20 octobre3 min de lecture

L'équipe PyTorch de Hugging Face détaille les gains du backend MPS dans PyTorch 2.15 : calcul groupé des modèles à experts natif sur GPU, couches linéaires et softmax plus rapides, FP8 disponible, et un décodage vidéo qui tombe de 270 à 8 GiB de mémoire pilote. Sur un M3 Ultra, un modèle Qwen à experts passe de 9,4 à 61,3 tokens par seconde. La version était encore en candidate, avec macOS 15 et Python 3.11 requis.

PyTorch 2.15 · macOS 15 minimum · Python 3.11 minimum · candidate : torch==2.15.0 via l'index test
M3 Ultra, modèle MoE Qwen3.6-35B-A3B : 9,4 → 61,3 tokens/s · softmax ×8
Wan2.2 (VAE) : 270 GiB → 8 GiB de mémoire pilote · FP8 float8_e4m3fn disponible

Votre Mac décode enfin les modèles à experts sans passer par le CPU.

Lire la fiche Source

VeilleTech — feed du mercredi 21 octobre