VeilleTech — 2026-10-23

01 SÉCURITÉ Faille

PHP2Shell : exploitation confirmée, que chercher

AWS Security Blog22 octobre3 min de lecture

Amazon a repéré une tentative d'exploitation de PHP2Shell dès le 17 octobre, quatre jours avant la divulgation, puis des tentatives en série le 21 octobre depuis plusieurs réseaux d'anonymisation. La fiche d'hier notait l'absence d'exploitation observée : ce n'est plus vrai. Les attaques laissent très peu de traces, d'où la liste de signaux à chercher dans les journaux.

1re tentative le 17/10/2026 (103.216.220.92), cinq IP le 21/10
Journaux : erreurs de limite mémoire, POST avec PHP_SESSION_UPLOAD_PROGRESS
PHP 8.5.12 · 8.4.27 · 8.3.36 · 8.2.35 : enquêter dès le 17/10

Corriger ne dit pas si l'on a déjà été visité.

Lire la fiche Source

02 MCP Discussion

OpenCode : MCP exécute du code sur Windows

The Hacker News22 octobre3 min de lecture

Un serveur MCP distant pouvait exécuter des commandes sur Windows ou WSL pendant la connexion OAuth d'OpenCode, via une commande PowerShell construite sans échapper l'adresse fournie par le serveur. Corrigé en 1.18.33 le 28 septembre, mais sans CVE ni avis : aucun scanner ne le signale. Le contrôle du schéma HTTP/HTTPS ne suffit pas à bloquer l'attaque.

OpenCode 1.0.137 à 1.18.32 sur Windows et WSL · corrigé en 1.18.33
Aucun CVE : CVSS 9,8 proposé par Pillar, invisible des scanners
Paquet open : version 11.0.4, navigateur lancé par arguments

Un serveur MCP n'a pas besoin d'être hostile le jour où vous l'ajoutez.

Lire la fiche Source

03 SÉCURITÉ Faille

HTTP/3 : QPACK fait exploser la mémoire des serveurs

The Hacker News22 octobre3 min de lecture

FoxIO a trouvé la même faille de décompression QPACK dans sept piles HTTP/3 sur dix : un client anonyme peut faire consommer à un serveur des dizaines, voire des milliers de fois plus de mémoire que ce qu'il envoie, avec une seule connexion. quic-go (sous Caddy, Traefik et cloudflared), quiche et lsquic sont corrigés ; Bun, h3 et aioquic ne le sont pas encore.

quic-go 0.57.0 · quiche 0.29.3 · lsquic 4.9.0 · Wireshark 4.6.2 / 4.4.12
Sans correctif : Bun, h3 (Rust), aioquic / mitmproxy
Amplification : ~15× (quic-go), 600 à 1 800× (lsquic), ~4 000× (Bun)

Une seule connexion suffit à saturer le serveur.

Lire la fiche Source

04 RÉSEAU Discussion

Quad9 quitte la France le 24 novembre

Quad922 octobre2 min de lecture

Quad9 annonce qu'il cessera de servir les utilisateurs situés en France le 24 novembre 2026, après un jugement du 21 octobre qui l'oblige à bloquer des noms de domaine à la demande de beIN. La fondation refuse de bloquer, ni par géolocalisation ni à l'échelle mondiale. Toute machine en France qui utilise 9.9.9.9 comme résolveur devra en changer avant cette date.

Échéance : mardi 24/11/2026
Résolveurs concernés : 9.9.9.9 et ses adresses secondaires
Astreinte ramenée de 580 000 € à 1 000 € par jour

Un résolveur est une dépendance : trouvez où il est écrit.

Lire la fiche Source

05 BUN Article

Bun 1.4.4 : un formateur compatible Prettier intégré

Bun22 octobre3 min de lecture

Bun 1.4.4 ajoute bun fmt, un formateur qui lit les configurations Prettier et oxfmt et que Bun mesure à 60 ms contre 17 s pour Prettier sur le dépôt de Prettier. La version accélère aussi bun check (1,4 à 7,8 fois) et migre les verrous Yarn Berry. Ce sont les mesures de Bun : la sortie n'est identique à Prettier que sur 77 % des 74 dépôts testés.

bun fmt --check : 59,7 ms contre 17,1 s (Prettier 3.9.10), mesures Bun
Identique à Prettier sur 57 des 74 dépôts testés (77 %)
bun check 1,4 à 7,8× plus rapide · migration de yarn.lock Berry

Mesurez sur votre dépôt avant de jeter Prettier.

Lire la fiche Source

07 IA Article

Agent Skills passe à la Linux Foundation

Anthropic22 octobre2 min de lecture

Anthropic donne le standard Agent Skills à l'Agentic AI Foundation, rattachée à la Linux Foundation, avec le nom, le logo, l'organisation GitHub et le domaine agentskills.io. Plus de 70 plateformes l'ont déjà intégré. La feuille de route proposée prévoit des versions numérotées, un processus de proposition et des consignes de sécurité.

Donné à l'AAIF (Linux Foundation), comme MCP
70+ plateformes · 1 million de skills · ~280 millions d'installations (chiffres Anthropic)
Prévu : versions numérotées, processus de proposition, guide de sécurité

Après MCP, les skills deviennent un bien commun.

Lire la fiche Source

08 POSTGRES Discussion

UUIDv7 : ni ordre strict, ni date fiable

alexsci.com23 octobre3 min de lecture

Un billet d'alexsci.com montre qu'UUIDv7 ne garantit ni croissance stricte, ni date de création fiable, ni valeurs impossibles à deviner : seule l'unicité est assurée. Avec le générateur de Python 3.14, un recul d'horloge d'une heure fait grossir l'écart sans fin sous charge. La date intégrée peut aussi trahir la création d'un compte.

RFC 9562 §6.1 : le champ date peut être modifié, sans garantie de proximité
Python 3.14 uuid.uuid7() : écart de 3 695 s, en hausse d'environ 100 s par série
Seule garantie : l'unicité · garder une colonne created_at

Un identifiant n'est pas une horloge.

Lire la fiche Source

VeilleTech — feed du vendredi 23 octobre