VeilleTech — 2026-10-22

01 PHP Article

PHP2Shell : deux failles RCE, mettez PHP à jour

PHP.net21 octobre4 min de lecture

PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35 corrigent deux failles critiques (CVE-2026-109618 et CVE-2026-109619, CVSS v4.0 9,2) qui permettent d'exécuter du code sans authentification, avec un risque maximal sous Apache et mod_php. Les contournements réduisent l'exposition sans protéger : seule la mise à jour compte, images Docker comprises. Une fuite de l'embargo le 20 octobre a fait avancer la sortie d'un jour.

CVE-2026-109618 · CVE-2026-109619 · CVSS v4.0 9,2 · RCE sans authentification
PHP 8.5.12 · 8.4.27 · 8.3.36 · 8.2.35 (8.2 : fin de vie le 31/12/2026)
Risque maximal : Apache + mod_php · memory_limit=-1 ne suffit pas

Une requête anonyme suffit : mettez à jour aujourd'hui.

Lire la fiche Source

02 SÉCURITÉ Faille

GitLab : faille CVSS 10 sans compte, patch 19.5.1

GitLab Docs21 octobre3 min de lecture

GitLab corrige CVE-2026-110264 (CVSS 10,0) : un dépassement d'entier dans le compilateur d'expressions régulières permet d'exécuter du code sans compte sur un serveur auto-hébergé, dans toutes les versions depuis la 7.0. Les instances patchées le 12 octobre sont de nouveau concernées, car les versions corrigées sont un cran au-dessus. Aucun contournement n'est proposé.

CVE-2026-110264 · CVSS 10,0 · code exécuté sans compte · versions 7.0 à 19.5.0
Corrigé : 19.5.1 · 19.4.3 · 19.3.6 · 19.2.9 · 19.1.9 · 19.0.10 · 18.11.13
Patché le 12/10 ? À refaire · détections : Onigmo native worker crash, Org mode render error burst

Patché le douze octobre ? Recommencez.

Lire la fiche Source

03 SÉCURITÉ Faille

LiteLLM 1.107.0 piégé sur PyPI : voleur de secrets

SafeDep21 octobre3 min de lecture

LiteLLM 1.107.0, publiée le 21 octobre sur PyPI et en images Docker, embarque un voleur d'identifiants et une porte dérobée qui s'exécutent au démarrage de tout processus Python. Le code est absent du dépôt public : l'attaquant a fait publier la version par le pipeline officiel. Désinstallez, cherchez les fichiers indicateurs et renouvelez tous les secrets de la machine.

LiteLLM 1.107.0 piégé (PyPI + Docker, 21/10, 11:39 à 14:20 UTC) · sains : 1.106.2, 1.107.0rc1, rc2
Fichiers : cook.pth, cook.py, sitecustomize.py · /tmp/.pc_once_72129118c59f5636c0bb
Exfiltration vers www.litellm[.]dev/healthcheck · renouveler SSH, cloud, CI et clés LLM

Même sans importer litellm, le code tournait : renouvelez les secrets.

Lire la fiche Source

04 SÉCURITÉ Faille

Railway : variables d'environnement à renouveler

Railway21 octobre1 min de lecture

Railway a détecté le 21 octobre un accès possible à ses systèmes de stockage des variables d'environnement, dont certaines ont pu être lues en clair, et a suspendu tous les déploiements. L'impact serait limité à une partie des utilisateurs, mais la consigne vaut pour tous : renouveler les variables, les clés d'API et les identifiants de registres privés, puis relire les journaux.

Variables d'environnement potentiellement lues, certaines déchiffrées · annonce du 21/10/2026
À renouveler : toutes les variables, clés d'API, identifiants de registres privés
Déploiements suspendus · suivi : status.railway.com/incident/QH8L8B3E

Dans le doute, renouvelez : le déploiement attendra.

Lire la fiche Source

05 NODE Article

Node.js : huit CVE corrigées, dont cinq hautes

Node.js21 octobre2 min de lecture

Node.js 26.12.1, 24.22.1 (LTS) et 22.23.4 (LTS) corrigent huit CVE, dont cinq classées hautes (TLS, dns, brotli), et embarquent OpenSSL 3.5.9, undici 7.30.1 et les certificats racine NSS 3.131.1. Les notes ne décrivent pas d'exploitation : l'urgence vient de la largeur du périmètre, les trois lignes actives étant touchées.

Node.js 26.12.1 · 24.22.1 (LTS) · 22.23.4 (LTS) · publiées le 21/10/2026
5 CVE hautes : 2026-106069, 2026-106072, 2026-105482, 2026-105483, 2026-111497
OpenSSL 3.5.9 · undici 7.30.1 · c-ares 1.34.9 · NSS 3.131.1 · tzdata 2026e

Un runtime à jour ne protège que s'il a redémarré.

Lire la fiche Source

06 DUCKDB Article

DuckDB 2.0 LTS : triggers, VARIANT, I/O asynchrone

DuckDB21 octobre3 min de lecture

DuckDB 2.0.0 LTS apporte un mode serveur (protocole Quack, CONNECT), des E/S asynchrones pour Parquet, CSV et S3, un type VARIANT complet, des triggers et un parseur PEG par défaut. Une base créée en 2.0 n'est plus lisible par les versions antérieures et la flèche simple des lambdas est désactivée : à tester sur un système fantôme avant de basculer.

DuckDB 2.0.0 LTS · support jusqu'en octobre 2027 · 1.5 prolongé jusqu'en mars 2027
Base créée en 2.0 illisible avant 2.0 · lambda x -> x + 1 désactivé, retiré en 2.1
quack_serve + CONNECT · VARIANT · CREATE TRIGGER · agent mode : 59 % de sortie en moins

Testez la deux point zéro sur une copie avant la production.

Lire la fiche Source

07 SYMFONY Article

Symfony 8.2 : signer les messages par transport

Symfony21 octobre3 min de lecture

Symfony 8.2 déplace la signature des messages Messenger du handler vers le transport : tout message non signé est refusé avant d'être lu. Elle permet aussi de faire tourner les secrets de signature sans toucher à kernel.secret, via des listes où le premier secret signe et tous vérifient. À activer sur un transport sans message en attente.

Symfony 8.2 : option sign sur les transports Messenger · refus avant toute lecture
Option sign par handler dépréciée · sans effet de signature en Symfony 9.0
Secrets en liste : le premier signe, tous vérifient · activer sur file vide

Signez au transport : le message se vérifie avant d'être lu.

Lire la fiche Source

08 LARAVEL Article

Laravel 13.38 : lire sa propre écriture sur réplica

Laravel News21 octobre2 min de lecture

Laravel 13.38.0 ajoute le middleware PreventStaleDatabaseReads, qui envoie vers la connexion d'écriture les lectures d'un utilisateur pendant deux secondes après son écriture, et DB::usingWritePdo() pour forcer les lectures d'un callback sur le primaire. Le retard des réplicas ne fait plus afficher l'ancienne valeur à celui qui vient d'enregistrer.

Laravel 13.38.0 · PreventStaleDatabaseReads : lectures sur l'écriture pendant 2 s après une écriture
PreventStaleDatabaseReads::for(10) pour 10 s · DB::usingWritePdo(fn () => ...)
Limites : session requise · connexion par défaut seulement · l'auteur de l'écriture seulement

Lire sa propre écriture : deux secondes suffisent.

Lire la fiche Source

09 IA Article

vLLM sert Flint (40B MoE) sur un seul GPU, dès J0

vLLM21 octobre3 min de lecture

vLLM prend en charge Flint dès sa sortie, un modèle de 40 milliards de paramètres à experts (2,5 milliards actifs) proposé en NVFP4 et en BF16 sur un seul GPU. Des noyaux dédiés aux petits lots portent le décodage à environ 500 tokens par seconde sur un GB200. Les noyaux ne ciblent qu'un seul GPU Blackwell ; ailleurs, retour aux couches standard.

Flint : 40B MoE, 2,5B actifs · contexte 262K · NVFP4 ou BF16 sur 1 GPU
Image vllm/vllm-openai:flint · RecursiveSI/flint-nvfp4-gguf · RecursiveSI/flint
≈ 500 tokens/s sur 1 GB200 · 1 096 noyaux → 346 · max_tokens ≥ 32K

Cinq cents tokens par seconde, mais sur du Blackwell.

Lire la fiche Source

VeilleTech — feed du jeudi 22 octobre